- Mais de 2.000 apps encontrados na App Store e no Google Play apresentaram indícios de coleta de dados de localização sem o consentimento do usuário
- O autor deste texto comprou esses dados de localização diretamente para testar se conseguiria rastrear a si mesmo
- Em resumo, ele confirmou que endereços IP e dados de localização vazam por toda parte, e que uma enorme quantidade de informações de usuários circula por protocolos de publicidade como o OpenRTB
- Porém, para comprar os dados de fato, é preciso gastar de dezenas a centenas de milhares de dólares, sendo que os dados de usuários europeus são particularmente mais caros
- Ainda assim, ficou novamente comprovado que é possível comprá-los em qualquer lugar
Ponto de partida
- Um iPhone 11 de teste foi restaurado para as configurações de fábrica e configurado com um novo Apple ID
- Para analisar o tráfego de rede, foram instalados o Charles Proxy e um certificado SSL para descriptografar requisições HTTPS
- Como app de exemplo, foi escolhido um jogo simples chamado “Stack”; ao executá-lo, surgiram várias requisições de publicidade e análise em intervalos muito curtos
Uma enxurrada de requisições
- Apenas um minuto após abrir o app, foi possível ver uma quantidade enorme de requisições de rede
- Cada requisição continha diversos dados, como localização, endereço IP, identificador de publicidade e detalhes do dispositivo
- Ao examinar uma a uma, ficou evidente que informações sensíveis eram enviadas para vários destinos mesmo sem consentimento do usuário
Unity [ads]
- Quando o SDK do Unity Ads está embutido no app, ele envia várias informações, incluindo localização e endereço IP, para os servidores da Unity
- São coletados dados como o identificador “ifv” (ID For Vendor), localização ao usar Wi‑Fi (latitude e longitude) e timestamps
- Como a Unity se integra a empresas de DSP como a Moloco Ads, essas informações acabam chegando a terceiros durante o processo de leilão de anúncios
Por que o Facebook aparece?
- Mesmo sem nenhum app relacionado à Meta ou ao Facebook instalado, o endereço IP e timestamps são enviados ao Facebook durante a comunicação de anúncios dentro do app
- Se o Facebook conseguir identificar contas usando o mesmo IP por outros caminhos, há grande chance de combinar isso com o histórico de uso dos serviços da Meta pelo usuário
- Isso não é devidamente informado com antecedência ao usuário e, na prática, também não há um processo real de consentimento
Por que o brilho da tela seria necessário?
- O Unity Ads solicita informações sobre o estado do dispositivo, como brilho da tela, nível da bateria, capacidade de memória e se há headset conectado
- Há preocupação de que essas informações possam ser exploradas para anúncios personalizados e propostas de preço dinâmicas
- Assim como o rumor de que a Uber ajustaria tarifas com base no nível da bateria, isso é tecnicamente possível
Entendendo os IDs
ifv(ID for Vendor) é um identificador atribuído por desenvolvedor de appadvertisingTrackingId(IDFA) é um identificador que permite rastrear o mesmo usuário em vários apps- Ao configurar a recusa de rastreamento, o IDFA passa a ser emitido no formato “0000...”, mas o IP e vários outros IDs continuam sendo enviados, permitindo na prática um rastreamento por vias indiretas
Diferença entre permitir ou não o rastreamento
- Independentemente de o rastreamento de anúncios estar como “permitido” ou “negado”, localização, IP e informações do navegador continuam sendo enviados
- A única diferença é que o IDFA não fica exposto; ainda assim, há outros elementos de identificação mais do que suficientes para distinguir o mesmo usuário
- Plataformas como o Facebook têm capacidade de identificar usuários indiretamente por meio do IP
Como os dados circulam?
- Os dados seguem o fluxo app → Unity [ads] → Molocoads → anunciante (como a Bwin)
- Uma SSP (Supply-Side Platform) como a Unity coleta dados pelo SDK dentro do app, e a Molocoads, que atua como DSP (Demand-Side Platform), usa isso para fazer lances em leilões de anúncios
- Nesse processo de intermediação, além dos anunciantes, inúmeros brokers também podem obter dados de localização e informações do dispositivo
Brokers de dados
- No mercado, empresas como Datarade e Databricks comercializam dados de localização de usuários com base em MAID (advertising ID)
- Empresas como a Redmob chegam a vender dados de localização em tempo real, com atualizações em menos de 5 segundos
- A AGR Marketing Solutions e outras também vendem dados que cruzam MAID com PII real (informações de identificação pessoal), entregando nome, endereço, telefone e outros dados
Rastreando a si mesmo diretamente
- Instala-se um app para que dados de localização sejam coletados no uso cotidiano
- Empresas de publicidade ou brokers passam a obter dados de IP + localização + advertising ID
- Depois, compra-se um dataset MAID <> PII e cruza-se com o próprio IDFA ou IP para vincular essas informações à identidade real
- No fim, o próprio usuário consegue comprar, combinar e usar seus dados de localização para rastrear a si mesmo
Encerrando
- O comércio de dados no ecossistema global de publicidade pode parecer legal em cada etapa isoladamente, mas, visto como um todo, representa uma séria invasão de privacidade
- O tema voltou aos holofotes recentemente com grandes incidentes de vazamento, como o caso da Gravy Analytics
- Mesmo ao negar o rastreamento de anúncios, não há garantia de proteção completa
- Fica claro que os usuários têm dificuldade para saber para onde suas informações vão e como elas circulam ao usar apps
1 comentários
Comentários do Hacker News
Há um problema de privacidade em que informações de contato podem ser vendidas com facilidade. Se você compartilha seus contatos com apps como o TikTok, nome, telefone e e-mail podem vazar. Quando havia problemas com atendimento ao cliente, já usei o método de comprar o contato de executivos para falar diretamente com eles. Porém, isso pode ter efeitos colaterais, como a conta do CashApp ser encerrada
Muitas matérias sobre privacidade carecem de detalhes técnicos ou exageram. Há o estudo da Mozilla sobre políticas de privacidade em carros, mas faltam detalhes técnicos reais. Por exemplo, surgem perguntas como: o carro grava conversas, onde os dados são armazenados e se são enviados a terceiros. Sem esses detalhes, as matérias podem apenas alimentar a desconfiança
Pago aluguel por uma empresa chamada Bilt e, sempre que compro na Walgreens, recebo por e-mail o recibo da compra. Espero que itens sensíveis fiquem de fora. Fico curioso sobre como esses dados vão da Walgreens para a empresa de aluguel, mas talvez seja melhor usar dinheiro vivo ou cheque administrativo
É interessante que pessoas da área de TI construam ao mesmo tempo a indústria de anúncios, venda de dados pessoais e rastreamento, e também sejam as que mais reclamam disso
Informações como brilho da tela, quantidade de memória, volume atual e se a pessoa está usando fones de ouvido podem ser usadas para desanonimizar usuários
A alegação de que LTE forneceria informações de localização mais precisas está errada. Se o app não tem permissão de localização, ele não consegue obter informações de
cellid. Apps gratuitos alegam coletar localização precisa, mas, na prática, isso não é precisoHá preocupação de que ad exchanges consigam encontrar maneiras de fazer rastreamento entre apps mesmo sem IDFA. Em teoria isso é proibido, mas é difícil impor essa regra
O app do Reddit, no meu celular, não tem essa permissão, mas recomenda comunidades com base em localização. Durante viagens, ele recomendava em cada cidade que eu visitava
Recomenda-se evitar usar apps móveis quando um site pode servir como substituto