EFF: Reklamní SDK v Androidu automaticky sdílejí polohu uživatelů

Nadace Electronic Frontier Foundation (EFF) zveřejnila nový výzkum, který odhaluje, že vývojáři aplikací pro Android nevědomky sdílejí přesné údaje o poloze milionů uživatelů s inzerenty a datovými brokery prostřednictvím vložených softwarových vývojových sad (SDK) třetích stran. To vyvolává nové obavy ohledně skrytých datových toků v ekosystému mobilní reklamy.

Jak SDK zneužívají oprávnění aplikací

Zpráva EFF, publikovaná tento týden, zjistila, že reklamní SDK integrovaná do aplikací pro Android mohou automaticky dědit oprávnění k přístupu k poloze, která má hostitelská aplikace, a sbírat přesná geolokační data bez nutnosti samostatného souhlasu. Pokud vývojáři sběr dat aktivně nevypnou, tyto knihovny začnou vysávat informace o poloze v okamžiku, kdy uživatel udělí aplikaci přístup.techcrunch+2

„Samotná oprávnění k přístupu k poloze na úrovni aplikace nemohou signalizovat smysluplný souhlas se sběrem a sdílením dat reklamními SDK třetích stran,“ uvádí EFF ve své zprávě. „Reklamní SDK by neměla mít sdílení osobních údajů jako výchozí nastavení, zejména u tak citlivých dat, jako je přesná poloha osoby.“mezha+2

Mezi aplikacemi, u kterých EFF zjistila tajné sdílení údajů o poloze, byly podle serveru TechCrunch dvě, které měly dohromady 60 milionů stažení. Organizace provedla testy analýzou síťového provozu aplikací, aby určila, které služby přijímají údaje o poloze uživatelů.techcrunch+1

Mezera v ochraně soukromí od Googlu

Výzkum poukazuje na strukturální slabinu v rámci oprávnění systému Android společnosti Alphabet Inc. ↘ 0.06%. Ačkoliv Android vyžaduje výslovný souhlas uživatele předtím, než aplikace získá přístup k údajům o poloze, EFF poznamenala, že „neexistují žádná specifická oprávnění k poloze pro SDK“. Jakmile uživatel udělí aplikaci přístup k poloze, každá knihovna třetí strany v ní vložená může využívat stejný datový proud, což vytváří to, co zastánci soukromí nazývají mezerou v souhlasu.mezha+1

Subjekty nabízející tato SDK jsou „obecně komerčně motivovány k tomu, aby přiměly své zákazníky sbírat více dat,“ uvedl TechCrunch. Historie polohy shromážděná těmito kanály končí u datových brokerů, kteří informace prodávají inzerentům, maloobchodníkům a vládním agenturám včetně FBI a vojenské rozvědky.techcrunch+1

Rostoucí regulační tlak

Zjištění přicházejí v době zpřísňujícího se regulačního prostředí. Virginie se v dubnu 2026 stala třetím státem USA, který zakázal prodej geolokačních dat, a rámce na ochranu soukromí, včetně evropského GDPR a kalifornského CCPA, řadí údaje o poloze mezi nejcitlivější kategorie osobních údajů.techbuzz+1

EFF vyzvala vývojáře, aby provedli audit svých integrací SDK a zakázali zbytečný sběr dat. Zastánci soukromí prosazují nové technické standardy, které by vyžadovaly, aby SDK deklarovala své postupy nakládání s daty ve strojově čitelných formátech, což by umožnilo automatizované audity ze strany obchodů s aplikacemi a vývojářských nástrojů. Prozatím břemeno leží převážně na vývojářích, z nichž mnozí postrádají zdroje na to, aby prověřili kód třetích stran, na kterém jsou závislí při monetizaci svých aplikací.techcrunch+2