EFF: los SDK publicitarios comparten en silencio la ubicación de usuarios de Android por defecto

Muchas aplicaciones tienen una razón legítima para solicitar la ubicación precisa de un dispositivo: una aplicación del clima la necesita para un pronóstico local, y una aplicación de ejercicio para rastrear una ruta de carrera. Pero nuevos hallazgos de la Electronic Frontier Foundation (EFF) muestran que algunas aplicaciones también comparten, sin querer, esos datos de ubicación con terceros, incluidos anunciantes y corredores de datos, porque es posible que el desarrollador de la aplicación no se dé cuenta de que la configuración para compartir datos está activada por defecto.

La investigación de la EFF apunta al código de terceros —conocido como kits de desarrollo de software, o SDK— que los desarrolladores integran en sus aplicaciones para agregar funciones o monetizarlas mediante publicidad. Según la EFF, estos SDK heredan cualquier permiso de ubicación que un usuario haya otorgado a la aplicación anfitriona, y recopilarán esos datos de ubicación a menos que el desarrollador los desactive de forma activa. La organización afirma que muchos desarrolladores podrían no darse cuenta de que están compartiendo la ubicación de sus usuarios con terceros por defecto, y exhortó a los creadores de aplicaciones a desactivar la recopilación de datos innecesaria siempre que sea posible.

Los SDK publicitarios se promocionan entre los desarrolladores como una herramienta de monetización, pero la EFF dice que la contrapartida es que los historiales de ubicación de los usuarios terminan en manos de corredores de datos, quienes revenden esa información, incluso, según la EFF, a militares, gobiernos y agencias de inteligencia como el FBI. Esos datos también representan un riesgo de seguridad y privacidad si un corredor sufre un hackeo o le roban su información, algo que ya les ha ocurrido a algunos de ellos. Entre las aplicaciones de Android que la EFF identificó compartiendo datos de ubicación de esta manera había dos que se habían descargado un total combinado de 60 millones de veces.

La EFF realizó sus pruebas analizando el tráfico de red de las aplicaciones para ver qué servicios recibían los datos de ubicación de los usuarios. Bill Budington, tecnólogo sénior de la EFF, dijo a TechCrunch que los SDK examinados representan un pequeño porcentaje del ecosistema publicitario más amplio, pero aun así afirman llegar a miles de millones de usuarios en decenas de miles de aplicaciones. El informe de la EFF indica que “no existen permisos de ubicación específicos para SDK”, lo que significa que, una vez que un usuario permite que una aplicación acceda a su ubicación, esos datos también se comparten por defecto con los SDK publicitarios de la aplicación. “Los permisos de ubicación a nivel de aplicación por sí solos no pueden expresar un consentimiento significativo para la recopilación y el intercambio de ubicación por parte de SDK publicitarios de terceros,” escribió la EFF, y agregó que dichos SDK “no deberían hacer que compartir datos personales sea la opción predeterminada, especialmente tratándose de datos tan sensibles como la ubicación de una persona.”

Por qué importa

La brecha entre lo que los usuarios creen haber consentido y lo que los SDK realmente recopilan significa que los avisos de permisos de las tiendas de aplicaciones no están cumpliendo la función que los reguladores suponen, lo que presiona a Google y a los desarrolladores —no solo a los anunciantes— a cerrar un vacío de intercambio por defecto que alcanza miles de millones de instalaciones de aplicaciones.