من المحتمل أن يتم اختيار بعض التطبيقات الأكثر شعبية في العالم من قبل أعضاء مارقين في صناعة الإعلان لجمع بيانات الموقع الحساسة على نطاق واسع، حيث تنتهي هذه البيانات في النهاية مع شركة بيانات الموقع التي باعت شركتها الفرعية في السابق بيانات الموقع العالمية إلى الولايات المتحدة. إنفاذ القانون.
تتضمن آلاف التطبيقات، المضمنة في الملفات المخترقة من شركة بيانات الموقع Gravy Analytics، كل شيء بدءًا من الألعاب مثل كاندي كراش وتطبيقات المواعدة مثل Tinder وتتبع الحمل وتطبيقات الصلاة الدينية عبر كل من Android وiOS. نظرًا لأن الكثير من عمليات التجميع تتم من خلال النظام البيئي الإعلاني – وليس التعليمات البرمجية التي طورها منشئو التطبيق أنفسهم – فمن المحتمل أن يحدث جمع البيانات هذا دون معرفة المستخدمين أو حتى مطوري التطبيقات.
“لأول مرة علنًا، يبدو أن لدينا دليلاً على أن أحد أكبر وسطاء البيانات الذين يبيعون للعملاء التجاريين والحكوميين يبدو أنه يحصل على بياناتهم من “تدفق العطاءات” للإعلان عبر الإنترنت،” بدلاً من التعليمات البرمجية المضمنة في التطبيقات نفسها يقول زاك إدواردز، كبير محللي التهديدات في شركة Silent Push للأمن السيبراني والذي تابع صناعة بيانات الموقع عن كثب، لـ 404 Media بعد مراجعة بعض البيانات.
توفر البيانات لمحة نادرة عن عالم المزايدة في الوقت الفعلي (RTB). تاريخيًا، دفعت شركات بيانات الموقع لمطوري التطبيقات لتضمين حزم من التعليمات البرمجية التي تجمع بيانات الموقع لمستخدميها. وبدلاً من ذلك، تحولت العديد من الشركات إلى الحصول على معلومات الموقع من خلال النظام البيئي الإعلاني، حيث تقدم الشركات عرضًا لوضع الإعلانات داخل التطبيقات. لكن أحد الآثار الجانبية هو أن وسطاء البيانات يمكنهم التنصت على تلك العملية وتحديد مواقع الهواتف المحمولة للأشخاص.
“هذا سيناريو كابوس بالنسبة للخصوصية، لأن خرق البيانات هذا لا يحتوي فقط على بيانات تم الحصول عليها من أنظمة RTB، ولكن هناك بعض الشركات التي تتصرف مثل غرير العسل العالمي، وتفعل ما يحلو لها مع كل قطعة من البيانات التي تأتي في طريقها. “، يقول إدواردز.
تتضمن بيانات Gravy المخترقة عشرات الملايين من إحداثيات الهواتف المحمولة للأجهزة داخل الولايات المتحدة وروسيا وأوروبا. تشير بعض هذه الملفات أيضًا إلى تطبيق بجوار كل جزء من بيانات الموقع. استخرجت 404 Media أسماء التطبيقات وأنشأت قائمة بالتطبيقات المذكورة.
تتضمن القائمة مواقع المواعدة Tinder وGrindr؛ ألعاب ضخمة مثل كاندي كراش, تشغيل المعبد, متصفحي مترو الانفاق، و هاري بوتر: الألغاز والتعاويذ; تطبيق النقل موفيت؛ My الدورة الشهرية وتتبعها، وهو تطبيق لتتبع الدورة الشهرية مع أكثر من 10 ملايين عملية تنزيل؛ وتطبيق اللياقة البدنية الشهير MyFitness Pro؛ الشبكة الاجتماعية نعرفكم. عميل البريد الإلكتروني الخاص بشركة Yahoo؛ تطبيق Microsoft 365 Office؛ ومتعقب الطيران Flightradar24. تذكر القائمة أيضًا العديد من التطبيقات التي تركز على الدين مثل تطبيقات صلاة المسلمين والكتاب المقدس المسيحي، ومختلف أدوات تتبع الحمل، والعديد من تطبيقات VPN، والتي قد يقوم بعض المستخدمين بتنزيلها، ومن المفارقات، في محاولة لحماية خصوصيتهم.
القائمة الكاملة يمكن العثور عليها هنا. وقد نشر العديد من الباحثين الأمنيين قوائم أخرى للتطبيقات المضمنة في البيانات، بأحجام مختلفة. الإصدار الخاص بنا أكبر نسبيًا لأنه يتضمن كلاً من تطبيقات Android وiOS، وقررنا الاحتفاظ بالمثيلات المكررة لنفس التطبيق الذي يحتوي على اختلافات طفيفة في الأسماء لتسهيل على القراء البحث عن التطبيقات التي قاموا بتثبيتها.
على الرغم من أن مجموعة البيانات هذه جاءت من اختراق واضح لـ Gravy، فإنه ليس من الواضح ما إذا كانت Gravy قد جمعت بيانات الموقع هذه بنفسها أو حصلت عليها من شركة أخرى، أو أي شركة موقع تمتلكها في النهاية أو مرخصة لاستخدامها.