Chi utilizza un’app meteo, di navigazione o comunque legata alla posizione geografica potrebbe non immaginare che i propri dati di localizzazione stiano viaggiando ben oltre i confini dell’app stessa. Un recente report pubblicato dall’Electronic Frontier Foundation (EFF) svela infatti i contorni di un fenomeno preoccupante che coinvolge alcune delle app più diffuse e apparentemente affidabili sugli store digitali.
Va però chiarito subito un aspetto importante: non si tratta necessariamente di un comportamento malevolo messo in atto consapevolmente dagli sviluppatori delle app. Il vero responsabile, secondo quanto emerso dall’indagine dell’EFF, è spesso un elemento “nascosto”, i software pubblicitari di terze parti integrati all’interno delle applicazioni.
Per capire il meccanismo bisogna partire da una pratica molto comune nello sviluppo di app, l’utilizzo dei cosiddetti SDK, acronimo di software development kit. Si tratta di pacchetti di codice già pronti che gli sviluppatori inseriscono nelle proprie applicazioni per aggiungere funzionalità senza doverle scrivere da zero, risparmiando tempo e risorse.
Tra le tipologie di SDK più diffuse ci sono proprio quelli dedicati alla pubblicità, strumenti che permettono alle app di mostrare annunci pubblicitari agli utenti, offrendo contemporaneamente agli sviluppatori gli strumenti necessari per monitorare le performance delle campagne e monetizzare il proprio lavoro. Praticamente qualsiasi app che mostra pubblicità si appoggia a soluzioni di questo tipo.
Segui TuttoAndroid su Google Discover
I dati possono essere condivisi con chi non dovrebbe averli
Secondo quanto riportato dall’EFF, però, numerosi SDK pubblicitari utilizzati dagli sviluppatori sono stati individuati mentre raccoglievano e condividevano la posizione precisa degli utenti. Ma con chi vengono effettivamente condivisi questi dati?
La risposta è abbastanza preoccupante, perché con un’intera rete di aziende pubblicitarie e sistemi che alimentano i cosiddetti data broker, ovvero le società specializzate nel tracciamento delle persone attraverso i loro dati.
Il rischio non è affatto solo teorico. In passato, informazioni sulla posizione ottenute proprio dall’industria pubblicitaria sono state utilizzate per rintracciare personale militare statunitense, per indagini condotte dall’agenzia federale ICE e persino per strumenti di spionaggio. Un precedente che rende ancora più allarmante quanto emerso dal nuovo rapporto.
Un unico permesso, ma troppe mani che lo usano
Insomma, il tema principale della questione riguarda il modo in cui funzionano i permessi sulle app: una volta concesso l’accesso alla posizione, quel dato non resta confinato all’uso per cui l’utente lo aveva autorizzato. Prendiamo l’esempio di un’app meteo. L’utente concede l’accesso alla posizione precisa per ricevere previsioni accurate sulla propria zona. Quella che sembra una semplice transazione tra utente e applicazione nasconde in realtà una terza parte invisibile che si inserisce silenziosamente nello scambio.
La stessa posizione precisa, infatti, viene condivisa anche con gli SDK di terze parti integrati nell’app, il più delle volte senza che l’utente ne sia minimamente consapevole. È proprio qui che i confini dei permessi concessi diventano labili: si autorizza la condivisione della posizione per ottenere una funzionalità utile, ma finisce per essere il software incorporato nell’app a raccogliere quei dati, spesso per semplice mancanza di attenzione da parte di chi ha sviluppato l’applicazione.
Esiste qualche margine di intervento
La situazione, tuttavia, non è del tutto priva di soluzioni. Gli sviluppatori hanno infatti la possibilità di intervenire concretamente per evitare la raccolta indiscriminata dei dati di localizzazione. È possibile, prima di integrare un SDK nella propria app, esaminarne le impostazioni e disattivare le funzioni di raccolta dati non strettamente necessarie.
Il problema è che queste impostazioni non sono immediatamente visibili e richiedono una ricerca attiva da parte di chi sviluppa il software. È proprio questa mancanza di trasparenza a rappresentare la parte principale della questione: gli sviluppatori che non analizzano a fondo gli SDK finiscono, senza volerlo, per permettere la raccolta e la diffusione di dati sensibili come la posizione geografica.