Come le app ti spiano segretamente con tracker di terze parti

Nel momento in cui installi un'app, inizia a cercare e tormentarti per i tuoi dati. Richiede le autorizzazioni per accedere alle parti interne del tuo telefono, ti chiede di registrare una manciata di informazioni personali: conosci la procedura.

Tuttavia, non importa quanto tu sia frugale e vigile ad ogni passo, c'è ancora un modo in cui la maggior parte delle app finisce per estrarre segretamente i tuoi dati.

Ogni app viene fornita con una gamma di quelli che tecnicamente vengono chiamati Software Development Kit (SDK). Per comprenderli meglio, pensa a un'app come a una casa Lego, in cui ciascun blocco funge da singolo modulo chiave.

Gli sviluppatori programmano i blocchi unici per le loro app, come il design e le funzioni. Ma componenti come la pubblicità e l’analisi non sono solitamente realizzati internamente. Per questo si rivolgono a terze parti che già offrono questi servizi. Tutto ciò che gli sviluppatori devono fare è collegarli alle loro app.

Gli SDK sono stati progettati, come puoi immaginare, per accelerare lo sviluppo ed eliminare sforzi ridondanti. Ma ultimamente, queste piccole entità si sono evolute come scappatoie critiche nella nostra ricerca di privacy poiché le aziende ne hanno abusato per sottrarre i dati personali degli utenti anche quando non dovrebbero farlo.

Danno alla privacy

UN Studio dell'Università di Oxford ha scoperto che quasi un terzo di tutte le app nel Play Store erano collegate ad almeno 10 SDK di terze parti e una in cinque condividevano i dati utente con un massimo di 20 SDK. Questa cifra aumenta esponenzialmente nelle app gratuite su larga scala. Ad esempio, come da Potente segnale, una società di intelligence mobile, Tinder è collegata a ben 51 SDK, Airbnb ne ha 41 e ESPN ne ha 40.

La maggior parte degli SDK raccolgono dati che normalmente non riterresti significativi. Tengono traccia di ciò che tocchi all'interno di un'app, delle aree in cui trascorri la maggior parte del tuo tempo, con quali annunci interagisci e altro ancora. Ma questa pratica apparentemente innocua può essere estremamente dannosa per la tua privacy se guardi come tutti questi dati si inseriscono nel quadro più ampio.

Lo studio di Oxford ha inoltre rivelato che l’88% delle app ricercate potrebbe trasmettere dati ad aziende che in ultima analisi sono di proprietà di Alphabet (la società madre di Google) e il 43% a servizi di proprietà di Facebook.

Alle aziende piace Facebook e Google sanno già parecchio di te e accedendo a centinaia di migliaia di app tramite gli SDK, sono in grado di mettere a punto il tuo profilo digitale nel loro database e servirti in modo mirato Annunci. Ad esempio, se stai aspettando e hai installato un'app relativa alla gravidanza, Google o Facebook potrebbero potenzialmente iniziare a mostrarti annunci di prodotti per bambini in base a queste nuove informazioni.

Dati personali estratti

Gli sviluppatori tendono a giustificare tutti questi SDK sostenendo che i dati vengono mantenuti anonimi e che le informazioni personali come il numero di telefono non vengono mai condivise.

Ma in realtà, le grandi aziende hanno la capacità di collegare anche il più piccolo frammento di dati al tuo profilo digitale. L'app potrebbe non comunicare a un SDK il tuo nome o indirizzo email, ma le aziende tecnologiche possono capirlo da sole eseguendo l'elaborazione incrociata con le loro conoscenze esistenti.

Le app non sempre condividono solo dati anonimi con gli SDK. Roman Unuchek, ricercatore di Kaspersky Lab ne ho trovati 4 milioni Androide le app inviavano dati del profilo utente non crittografati – inclusi nomi, redditi, numeri di telefono, indirizzi e-mail e, in un esempio, coordinate GPS – ai server degli inserzionisti.

Poche settimane fa, un'indagine della Electronic Frontier Foundation (EFF). scoperto che quattro società di analisi e marketing stavano accumulando informazioni come nomi, indirizzi IP privati, operatori di rete mobile, identificatori persistenti e dati dei sensori dell'Amazzonia Applicazione dell'anello.

Due degli SDK evidenziati da EFF - Appsflyer e Facebook Graph - possono essere trovati in una moltitudine di app e gli esperti affermano che è probabile che stiano raccogliendo un insieme simile di dati anche da altre app.

In una dichiarazione, un portavoce di Appsflyer ha affermato che la società non è un broker di dati e “non crea targeting profili, non vende dati e non utilizza in altro modo i dati personali degli utenti dell'app per i propri scopi.

"Alcune società di analisi danno agli sviluppatori di app un controllo accurato su quali informazioni vengono fornite, ma sembra una buona supposizione che altre app forniranno una quantità simile di dati sensibili se includeranno queste stesse biblioteche”, ha detto a Digital William Budington, autore dell’indagine EFF. Tendenze.

Molti SDK che attualmente svolgono un ruolo indispensabile nello sviluppo di app spesso non indicano chiaramente come gestiscono i dati degli utenti. In alcuni casi, gli sviluppatori trascurano e saltano il controllo del funzionamento di un SDK, mettendo a rischio la sicurezza dell'utente.

"Sfortunatamente, la maggior parte degli sviluppatori potrebbe non sapere... quanto possa essere invasivo un determinato SDK quando si crea il proprio software, mentre gli utenti ne sono completamente ignari il fatto che, quando si esegue un’app mobile, potrebbero esserci dozzine di altre organizzazioni che potenzialmente raccolgono dati sensibili e personali”, ha affermato Narseo Vallina-Rodriguez, ricercatrice presso la divisione Networking and Security dell’International Computer Science Institute e membro del team che ha sviluppato Lume, un'app che monitor a quali SDK il tuo telefono sta trasmettendo i dati.

Informazioni chiave sepolte

Un altro collo di bottiglia che ha permesso agli SDK di impazzire è che il loro consenso è generalmente sepolto in profondità l'Informativa sulla privacy di un'app e molte volte gli sviluppatori non riescono a sottolineare esplicitamente ciò che gli utenti stanno offrendo su. Inoltre, le impostazioni di sicurezza dell’app non si applicano agli SDK di terze parti, lasciando agli utenti poca o nessuna scelta.

“In effetti, ci sono prove che dimostrano che ciò che molte app riportano nelle loro politiche sulla privacy offre un quadro incompleto dei loro effettivi comportamenti di runtime e raccolta dati”, ha aggiunto Narseo Vallina-Rodriguez.

Fino ad Android 10, Gli SDK potrebbero persino condividere le autorizzazioni tra due app non correlate. Pertanto, supponiamo che l'app A abbia l'autorizzazione alla posizione e B no ed entrambe siano dotate dello stesso SDK, c'è una discreta possibilità che B possa sfruttare l'autorizzazione alla posizione di A e raccogliere i tuoi dati GPS.

A differenza dei browser, non puoi semplicemente bloccare i tracker delle app. La tua unica opzione è quella di passare attraverso le impostazioni di un'app e assicurarti di deselezionare Raccogliere dati per l'analisi casella se ce n'è una.

Puoi anche iniziare a utilizzare le app web sul tuo telefono tramite il browser, che ti consente di bloccare i tracker con gli strumenti integrati del browser. La maggior parte delle app leader come Instagram e Tinder offrono app Web comparabili che si comportano in gran parte come normali app mobili. Nel processo, risparmierai anche un sacco di spazio di archiviazione e RAM.

La tua privacy è forte quanto l'anello più debole dell'intera catena di app e, sui telefoni, quell'anello è un SDK. E sfortunatamente non puoi fare altro che passare ad app che promettono maggiore sicurezza per i tuoi dati. Si spera che nelle future versioni di Android e iOS, Google e Apple introducano migliori protezioni contro i tracker di terze parti.

Raccomandazioni degli editori

• Questa subdola app truffa dimostra che i Mac non sono a prova di proiettile
• Il chip M1 di Apple ha un difetto, ma non dovresti preoccuparti
• Queste app utilizzano l'A.I. per automatizzare la tua vita e farti risparmiare tempo
• Microsoft aggiorna le sue app Outlook per migliorare il lavoro fuori orario
• La nuova app Office di Microsoft suggerisce il potenziale di Surface Duo