Versi Android dari aplikasi cryptocurrency populer Bitcoin Ticker Widget dan tiruan dari Steemit, Steemit Earn Money, termasuk alat kit pengembangan perangkat lunak (SDK-software development kit) yang mengekstrak data ekstensif tentang pengguna di masa lalu dan berpotensi ditautkan ke kode pelacakan lokasi dari X-Mode a perusahaan pelacak data terkenal, menurut laporan baru dari Express VPN Digital Security Lab . Dua aplikasi keuangan pribadi lainnya juga ditemukan mengandung pelacak data ini.
“Kami ingin mengatakan kepada konsumen: ‘Ini adalah masalah besar; Anda mungkin tidak menyadarinya, ‘”kata Sean O’Brien, peneliti utama di ExpressVPN Digital Security Lab . “Meskipun aplikasi ini tidak semuanya merek besar, aplikasi ini telah diunduh 1,7 miliar kali, secara kolektif, dan jutaan kali untuk setiap aplikasi. Mereka menggunakan ponsel orang di saku mereka. Orang-orang menggunakannya untuk berkencan, sosial, dan keuangan, tetapi mereka tidak sepenuhnya menyadari jumlah data yang diambil. ”
Meskipun ada banyak perusahaan yang membeli dan menjual akses ke data lokasi yang diambil dari ponsel orang yang tidak menaruh curiga, X-Mode berada di bawah pengawasan setelah hubungannya dengan kontraktor pemerintah dan militer terungkap.
Pada November 2020, Vice melaporkan X-Mode mendapatkan data lokasi terperinci dari beberapa aplikasi sholat Muslim, kemudian menjual data itu “ke kontraktor, dan dengan ekstensi, militer.”
Laporan baru ini, penyelidikan yang jauh lebih luas tentang masalah ini, menemukan kode X-Mode ada di 44% dari 450 aplikasi yang mereka analisis, dan aplikasi tersebut telah diunduh setidaknya satu miliar kali.
“Aplikasi ini bersifat global dan mencakup kesehatan serta aplikasi cuaca, game, dan filter foto riasan,” tulis laporan itu.
Sementara Steemit Earn Money baru diunduh sekitar 100 kali, Bitcoin Ticker Widget telah diunduh lebih dari 1 juta kali.
SDK adalah alat dasar yang mempercepat dan mempermudah pengembang untuk membuat aplikasi. Meskipun demikian, alat tersebut dapat berisi kode yang tidak diperlukan untuk fungsi inti aplikasi. Kode tambahan ini dapat melacak lokasi, mengekstrak data, dan umumnya menyampaikan informasi kembali ke pembuat SDK. Informasi itu kemudian dapat dibagikan atau dijual untuk digunakan untuk berbagai tujuan.
Saat pengguna mengunduh aplikasi dan menerima persyaratan layanan dan kebijakan privasinya, mereka mungkin secara tidak sengaja memilih bentuk pengumpulan data ini, meskipun mereka tidak diberi tahu secara pasti di tangan siapa data tersebut akan berakhir. Praktik semacam ini biasa terjadi dalam dunia periklanan penargetan tetapi, seperti yang telah didokumentasikan sebelumnya, data juga dapat berakhir di tangan penegak hukum (bahkan tanpa surat perintah), pemburu bayaran dan lain-lain.
“Di dalam X-Mode SDK, terdapat referensi kode ke lima penyedia data,” kata O’Brien. “Ini adalah entitas lain yang secara longgar disebut ‘perantara data’. Terkadang mereka benar-benar menjual data dan terkadang tidak. Meskipun agak rumit, kelima entitas ini pada dasarnya adalah merek terkenal di ruang pengawasan lokasi ini. ”
“Apa yang tampaknya terjadi karena apa yang ada dalam kode adalah bahwa penyedia data ini memiliki semacam hubungan bisnis dengan X-mode, baik saat ini atau sebelumnya,” kata O’Brien. “Dan jika mereka diaktifkan di aplikasi ini, penyedia tersebut juga mendapatkan beberapa informasi dari aplikasi yang memiliki X-mode SDK.”
OneAudience, OpenSignal dan pelacakan data lokasi
OneAudience, termasuk dalam Bitcoin Ticker Widget dan Steemit Earn Money, adalah salah satu pelacak “perantara data” yang dirujuk dalam kode X-Mode sebagai bagian dari SDK. Itu adalah subjek larangan dan gugatan oleh Facebook atas pelanggaran privasi data karena data yang dikumpulkan SDK OneAudience.
Pada Februari 2020 Twitter dan Facebook mengklaim bahwa “OneAudience telah mengumpulkan data pribadi, seperti nama orang, jenis kelamin, email, nama pengguna, dan kemungkinan tweet terakhir orang” sedemikian rupa sehingga dibandingkan dengan skandal Cambridge Analytica . SDK ditutup pada akhir 2019.
Pelacak data lain, Opensignal, terutama berfungsi sebagai pemeta WiFi, di mana lokasi pengguna dapat ditentukan.
Dalam gugatannya terhadap OneAudience, menurut Recode , Facebook berpendapat bahwa “OneAudience juga membayar aplikasi untuk mengambil informasi Google dan Twitter pengguna saat mereka masuk ke salah satu aplikasi yang disusupi menggunakan informasi akun Google atau Twitter mereka.”
OneAudience, saat mematikan SDK yang menjadi subjek gugatan, berkata, “Kami diberi tahu bahwa informasi pribadi dari ratusan ID seluler mungkin telah diteruskan ke platform OneAudience kami. Data ini tidak pernah dimaksudkan untuk dikumpulkan, tidak pernah ditambahkan ke database kami dan tidak pernah digunakan. ”
Model bisnis Opensignal, di sisi lain, terutama bergantung pada kasus penggunaan pemetaan Wi-Fi.
“‘Pertanyaannya adalah, berapa banyak data Wi-Fi yang mereka ambil?” Tanya O’Brien.
Dalam kebijakan privasinya , Opensignal menyatakan mengumpulkan data geolokasi, “jenis jaringan, operator jaringan, kekuatan dan kualitas sinyal seluler dan WiFi, serta pengenal menara seluler dan router WiFi yang terhubung.”
Jika Anda memilih untuk tetap menggunakan aplikasi seperti Bitcoin Ticker Widget dan Steemit Earn Money, ada cara untuk membatasi kemampuan pelacakan datanya. O’Brien mengatakan pengguna harus masuk ke pengaturan dan memeriksa izin untuk aplikasi, terutama izin lokasi, dan mencabutnya.
