Hava durumu ve oyun uygulamalarındaki reklam verisi polise telefon takibi imkânı veriyor: Bloomberg, Penlink'in Webloc aracını inceledi
Bloomberg'in 5 Kasım tarihli araştırması, Penlink'in sattığı Webloc aracının reklam ekosisteminden toplanan konum kayıtlarıyla belirli bir yerde bulunan cihazları ve bu cihazların geçmiş hareketlerini aramaya imkân verdiğini ortaya koydu.
Bloomberg'in 5 Kasım'da yayımladığı araştırma, gözetim teknolojisi satıcısı Penlink'in Webloc adlı aracını yeniden gündeme taşıdı. Habere göre araç, hava durumu ve oyun gibi gündelik uygulamalardaki reklam teknolojisi üzerinden toplanan konum kayıtlarını kolluk kuvvetlerinin aranabilir hâle getiriyor. Araştırmayı özetleyen yayınlara göre bu kayıtlara erişim için mahkeme kararı gerekmiyor, çünkü veri ticari yollarla satın alınıyor.
Araç nasıl çalışıyor?
Bazı uygulamalar kullanıcının konumunu reklam şirketleriyle paylaşıyor. Bu kayıtlar bir koordinatı ve zaman damgasını, aynı cihazı farklı uygulamalarda tanımaya yarayan reklam kimliğiyle (advertising ID) eşleştiriyor; veri simsarları da bu kayıtları toplayıp yeniden satabiliyor.
Haberlere göre Webloc kullanan bir soruşturmacı, belirli bir yeri ve zaman aralığını seçip orada bulunan cihazları listeleyebiliyor, ardından bu cihazların başka nerelerde bulunduğuna bakabiliyor. Toronto Üniversitesi'nden Citizen Lab'in nisan ayında incelediği belgeler, dünya genelinde 500 milyona kadar cihazın kayıtlarına ve üç yıla kadar uzanan konum geçmişine erişimden söz ediyordu. Araç ilk olarak Cobwebs Technologies tarafından geliştirildi; şirket 2023'te Penlink ile birleşti.
Kimler kullanıyor?
- Bloomberg'in aktardığına göre Arizona'daki Tucson polisi, aracı bir kişinin ve partnerinin nerede yaşadığını ve çalıştığını belirlemek için kullandığını anlattı.
- ABD Alkol, Tütün, Ateşli Silahlar ve Patlayıcılar Bürosu (ATF), kongre üyelerinin ticari konum verisi kullanımını sorgulamasının ardından haziran ayında Webloc sözleşmesini iptal etti.
- Citizen Lab'in nisan raporu, aracı ABD'de federal, eyalet ve yerel düzeydeki kurumlarla birlikte Macaristan ve El Salvador'daki kurumlarla ilişkilendirmişti.
Penlink temsilcisi, belirli müşteriler hakkında yorum yapmayı reddetti ve Webloc'un yalnızca kolluk ve ulusal güvenlik çalışmalarını desteklemek için sunulduğunu söyledi.
Neden önemli?
Bir kayıtta isim olmasa da konum geçmişi bir kişinin geceyi nerede geçirdiğini, hangi sağlık kuruluşuna gittiğini ya da kimlerle buluştuğunu gösterebilir. Reklam ekosistemi için toplanan verinin bu şekilde ikinci bir amaca kullanılması, kurumsal cihaz filoları için de bir veri sızıntısı riski anlamına geliyor: çalışanın telefonundaki bir oyun, kurumun hassas lokasyonlarına ait hareket izini dışarıya taşıyabilir.
Ne yapılmalı?
- Bireyler: Uygulamaların konum izinlerini gözden geçirin. Hava durumu için şehir adı elle girilebilir; harita gibi konuma gerçekten ihtiyaç duyan uygulamalara yalnızca "uygulamayı kullanırken" izni verin, mümkünse hassas konumu kapatın.
- iPhone'da Ayarlar › Gizlilik ve Güvenlik › Takip bölümünden uygulamaların takip isteğini kapatın; Android'de ayarlarda reklam kimliğini silme seçeneğini kullanın. Bu adımlar ileriye dönük toplamayı azaltır, simsarların elindeki eski kayıtları silmez.
- Kurumlar: MDM politikasında hassas tesislerde çalışan personelin cihazları için konum izni ve reklam kimliği kurallarını tanımlayın; kurumsal profilde gereksiz reklam destekli uygulamaları sınırlayın.
- Tedarikçi ve uygulama değerlendirmelerinde, uygulamanın konum verisini hangi reklam ortaklarıyla paylaştığını sorgulayın.
