حذّرت مؤسسة الحدود الإلكترونية (EFF) من أن بعض تطبيقات أندرويد قد تشارك بيانات الموقع الجغرافي الدقيقة للمستخدمين مع شركات الإعلانات ووسطاء البيانات دون علمهم، بسبب إعدادات افتراضية مدمجة داخل مكونات برمجية يستخدمها مطورو التطبيقات.
وأوضحت المؤسسة أن كثيرًا من التطبيقات تطلب الوصول إلى الموقع الجغرافي لأسباب مشروعة، مثل تقديم توقعات الطقس أو تتبع الأنشطة الرياضية، إلا أن المشكلة تكمن في أن بعض حزم تطوير البرمجيات (SDKs) المضافة إلى هذه التطبيقات تنقل بيانات الموقع تلقائيًا إلى جهات خارجية، دون أن يكون المطور على دراية بذلك.
كيف تنتقل بيانات موقعك؟
وبحسب التقرير، فإن حزم تطوير البرمجيات ترث تلقائيًا جميع الأذونات التي يحصل عليها التطبيق. ما يعني أنه بمجرد موافقة المستخدم على منح التطبيق حق الوصول إلى موقعه، تصبح هذه الحزم قادرة أيضًا على جمع بيانات الموقع الدقيقة، ما لم يقم المطور بإيقاف هذه الخاصية يدويًا.
وأكدت مؤسسة EFF أن العديد من المطورين قد لا يعلمون أن إعدادات مشاركة الموقع تكون مفعلة افتراضيًا، داعية إلى تعطيل أي عمليات لجمع البيانات غير الضرورية لحماية خصوصية المستخدمين.
بيانات تُباع لجهات مختلفة
وأشارت المؤسسة إلى أن شركات الإعلانات تروج لهذه الحزم البرمجية باعتبارها وسيلة تساعد المطورين على تحقيق الإيرادات. إلا أن المقابل يتمثل في انتقال بيانات الموقع إلى وسطاء البيانات، الذين يعيدون بيعها لجهات متعددة، من بينها شركات خاصة، ومؤسسات حكومية، وأجهزة أمنية.
وأضاف التقرير أن هذه البيانات قد تشكل خطرًا على خصوصية المستخدمين. خاصة في حال تعرضها للاختراق أو التسريب. ما حدث بالفعل مع بعض شركات وساطة البيانات خلال السنوات الماضية.
تطبيقات تجاوزت 60 مليون عملية تنزيل
وكشفت اختبارات أجرتها المؤسسة عن وجود تطبيقين على نظام أندرويد كانا يرسلان بيانات الموقع الجغرافي للمستخدمين بصمت إلى جهات خارجية. بينما تجاوز إجمالي عدد مرات تنزيلهما أكثر من 60 مليون مرة.
واعتمد الباحثون في تحقيقهم على تحليل حركة البيانات الصادرة من التطبيقات، لتحديد الجهات التي تستقبل معلومات الموقع الخاصة بالمستخدمين.
مشكلة في نظام الأذونات
وأوضح التقرير أن نظام أندرويد لا يوفر أذونات مستقلة لحزم تطوير البرمجيات، لذلك فإن منح التطبيق إذن الوصول إلى الموقع يمنح هذه الحزم الصلاحية نفسها تلقائيًا، وهو ما يفتح الباب أمام جمع البيانات دون موافقة منفصلة من المستخدم.
كما لفت التقرير إلى أن الشركات المطورة لهذه الحزم تمتلك دوافع تجارية لتشجيع جمع أكبر قدر ممكن من البيانات. لما تمثله من قيمة كبيرة في سوق الإعلانات الرقمية.
دعوة لتعزيز الخصوصية
واختتمت مؤسسة الحدود الإلكترونية تقريرها بالتأكيد على أن موافقة المستخدم على منح التطبيق حق الوصول إلى موقعه لا تعني بالضرورة موافقته على مشاركة هذه البيانات مع شركات الإعلانات أو الأطراف الخارجية. كما شددت على ضرورة أن تكون مشاركة بيانات الموقع الجغرافي خيارًا واضحًا ومعلنًا، وليس إعدادًا افتراضيًا يعمل في الخلفية دون علم المستخدم.