Candy Crush, Tinder, MyFitnessPal: Konum takibinde kötüye kullanılan uygulamalar

• Binlerce uygulama konum verisini nasıl topluyor

• Konum verisi toplama: Gravy Analytics adlı bir konum verisi şirketinin hacklenmesi, Candy Crush, Tinder, MyFitnessPal gibi popüler uygulamaların kullanıcı konum bilgilerini toplamak için kullanıldığını ortaya çıkardı. Bu veriler reklam ekosistemi üzerinden toplanıyor ve bunun uygulama geliştiricilerinin ya da kullanıcıların bilgisi dışında gerçekleşme ihtimali yüksek.

• Gerçek zamanlı teklif sistemi: Konum verisi toplama, gerçek zamanlı teklif verme (RTB) sistemi üzerinden yapılıyor. Uygulamalara reklam yerleştirmek için rekabet edilen süreçte veri brokerları bu bilgileri toplayabiliyor. Bu da gizlilik için büyük bir tehdit oluşturuyor.

• Hacklenen veriler: Hacklenen Gravy verileri, ABD, Rusya ve Avrupa'daki on milyonlarca mobil cihazın koordinatlarını içeriyor; ayrıca belirli uygulamalarla ilişkilendirilmiş konum verileri de bulunuyor. Bu verilerin Gravy tarafından doğrudan mı toplandığı yoksa başka şirketlerden mi alındığı belirsiz.

• Uygulama listesi: Tinder, Grindr, Candy Crush, Temple Run, Subway Surfers, MyFitnessPal, Tumblr, Microsoft 365 gibi çeşitli uygulamalar listede yer alıyor. Bu uygulamalar reklamlar aracılığıyla konum verisi topluyor olabilir.

• Geliştiricilerin tepkisi: Uygulama geliştiricilerinin çoğu Gravy ile ilişkisini reddederken, konum verisinin reklam ağları üzerinden toplanabileceğini kabul ediyor. Örneğin Tinder ve Muslim Pro, Gravy ile ilişkilerini reddetti; Grindr ise veri brokerlarıyla veri paylaştığını inkâr etti.

• Veri toplama yöntemi: Veriler çoğunlukla IP adresleri üzerinden konum tahmini yapılarak toplanıyor. Bu da GNSS/GPS verisi kullanılmadan da konum takibinin mümkün olduğunu gösteriyor.

• Düzenleyici adımlar: ABD Federal Ticaret Komisyonu (FTC), Mobilewalla adlı başka bir konum verisi şirketinin RTB süreci üzerinden veri toplamasını yasakladı. Gravy ve Venntel de kullanıcı onayı olmadan veri toplamakla eleştirildi.

• Güvenlik araştırması: 404 Media, hacklenen Gravy verilerini çeşitli yöntemlerle doğruladı. Bazı dosyalarda, Gravy'nin veri ambarlama aracı Snowflake'e ait kimlik bilgileri yer alıyor.