Τα advertising SDKs σε εφαρμογές Android μπορεί να μοιράζονται την ακριβή τοποθεσία των χρηστών με διαφημιστές και data brokers χωρίς οι προγραμματιστές να το γνωρίζουν — αυτή είναι η κεντρική διαπίστωση νέας έρευνας του Electronic Frontier Foundation (EFF). Το πρόβλημα εντοπίζεται στον τρόπο που τα Android SDKs κληρονομούν τα δικαιώματα πρόσβασης της εφαρμογής, με αποτέλεσμα η παραχώρηση άδειας τοποθεσίας στην εφαρμογή να ισοδυναμεί αυτόματα με παραχώρηση πρόσβασης και στον κώδικα τρίτων. Η έκθεση αυτή έρχεται σε μια εποχή που η ιδιωτικότητα των χρηστών κινητών συσκευών βρίσκεται υπό αυξανόμενη πίεση από ρυθμιστικές αρχές και ερευνητές ασφάλειας παγκοσμίως.
Δείτε επίσης: Επίσημη κυκλοφορία του Android developer verification σε όλους τους προγραμματιστές
Σύμφωνα με την TechCrunch, το EFF εντόπισε ότι πολλές εφαρμογές Android ενσωματώνουν κώδικα τρίτων — γνωστό ως Software Development Kits (SDKs) — που χρησιμοποιείται κυρίως για τη διαχείριση διαφημίσεων και την ανάλυση δεδομένων. Το πρόβλημα είναι ότι αυτά τα SDKs δεν έχουν ξεχωριστά δικαιώματα πρόσβασης στο Android: μόλις ο χρήστης εγκρίνει την πρόσβαση στην τοποθεσία για την εφαρμογή, ο κώδικας τρίτων κληρονομεί αυτόματα την ίδια πρόσβαση. Αν ο προγραμματιστής δεν απενεργοποιήσει ρητά τη συλλογή δεδομένων τοποθεσίας από τα SDKs, αυτά θα συνεχίσουν να αποστέλλουν τα δεδομένα στους servers των διαφημιστικών δικτύων.
Ο Bill Budington, ανώτερος τεχνολόγος του EFF, δήλωσε ότι τα SDKs που εξετάστηκαν αντιπροσωπεύουν ένα μικρό ποσοστό του ευρύτερου διαφημιστικού οικοσυστήματος, ωστόσο ισχυρίζονται ότι φτάνουν σε δισεκατομμύρια χρήστες μέσα από δεκάδες χιλιάδες εφαρμογές. Μεταξύ των εφαρμογών που εντοπίστηκαν να μοιράζονται αθόρυβα δεδομένα τοποθεσίας, δύο είχαν συνολικά 60 εκατομμύρια λήψεις. Η EFF πραγματοποίησε τις δοκιμές αναλύοντας την κίνηση δικτύου των εφαρμογών και εντοπίζοντας ποιες υπηρεσίες λαμβάνουν τα δεδομένα τοποθεσίας των χρηστών.
Android SDKs και η κληρονομιά δικαιωμάτων τοποθεσίας
Το κεντρικό τεχνικό πρόβλημα που αναδεικνύει η έκθεση του EFF είναι η απουσία SDK-specific location permissions στο Android. Αυτό σημαίνει ότι το σύστημα αδειών του Android δεν διαχωρίζει μεταξύ του κώδικα της ίδιας της εφαρμογής και του κώδικα τρίτων που είναι ενσωματωμένος σε αυτήν. Όταν ο χρήστης πατά «Αποδοχή» στο αίτημα πρόσβασης στην τοποθεσία, δίνει ουσιαστικά πρόσβαση σε όλα τα στοιχεία της εφαρμογής — συμπεριλαμβανομένων των advertising SDKs που μπορεί να μην γνωρίζει καν ότι υπάρχουν.
Τα advertising SDKs προωθούνται στους προγραμματιστές ως εργαλεία monetization: επιτρέπουν στις δωρεάν εφαρμογές να παράγουν έσοδα μέσω διαφημίσεων χωρίς να χρειαστεί ο χρήστης να πληρώσει. Ωστόσο, το αντίτιμο είναι η συλλογή δεδομένων τοποθεσίας, τα οποία τροφοδοτούνται σε data brokers που τα πωλούν σε τρίτους. Σύμφωνα με το EFF, αυτοί οι αγοραστές μπορεί να περιλαμβάνουν στρατιωτικές υπηρεσίες, κυβερνήσεις, υπηρεσίες πληροφοριών και υπηρεσίες επιβολής του νόμου όπως το FBI. Επιπλέον, τα δεδομένα αυτά αποτελούν σοβαρό κίνδυνο ασφάλειας αν παραβιαστούν ή κλαπούν — κάτι που έχει ήδη συμβεί σε ορισμένους data brokers.
Η Google, ως κεντρικός «θυρωρός» του οικοσυστήματος Android, έχει ήδη αναγνωρίσει την ευαισθησία των δεδομένων τοποθεσίας στις διαφημίσεις. Η τεκμηρίωση του AdMob αναφέρει ότι οι εκδότες πρέπει να παρέχουν ειδοποίηση και συγκατάθεση όταν μεταβιβάζουν ακριβή δεδομένα τοποθεσίας στη Google για διαφημιστικούς σκοπούς. Ωστόσο, η απαίτηση αυτή δεν επεκτείνεται αυτόματα σε όλα τα SDKs τρίτων που μπορεί να είναι ενσωματωμένα στην εφαρμογή.
Δείτε επίσης: Flying Eagle Android RAT: Ίχνη σε 170 Servers
Android SDKs: Κίνδυνοι για χρήστες και προγραμματιστές
Για τους χρήστες, ο κύριος κίνδυνος είναι η δημιουργία μακροχρόνιων ιστορικών τοποθεσίας που αποκαλύπτουν ευαίσθητες πληροφορίες: καθημερινές ρουτίνες, τοποθεσία κατοικίας και εργασίας, επισκέψεις σε ιατρικές εγκαταστάσεις, θρησκευτικές ή πολιτικές δραστηριότητες και ταξιδιωτικές συνήθειες. Το EFF έχει τεκμηριώσει περιπτώσεις όπου δεδομένα τοποθεσίας από διαφημιστικές πηγές χρησιμοποιήθηκαν σε έρευνες της ICE, σε παγκόσμια εργαλεία κατασκοπείας, στην αποκάλυψη της ταυτότητας ενός ιερέα, στην παρακολούθηση συνδικαλιστών και στον εντοπισμό στρατιωτικού προσωπικού των ΗΠΑ.
Για τους προγραμματιστές εφαρμογών Android, ο κίνδυνος είναι διπλός. Αφενός, ενδέχεται να παραβιάζουν ακούσια κανόνες ιδιωτικότητας και να εκτίθενται σε ρυθμιστικές κυρώσεις. Αφετέρου, η φήμη τους μπορεί να πληγεί αν αποκαλυφθεί ότι η εφαρμογή τους μοιράζεται δεδομένα χρηστών χωρίς σαφή συγκατάθεση. Το EFF τονίζει ότι πολλοί προγραμματιστές πιστεύουν ότι μόνο ο δικός τους κώδικας έχει πρόσβαση στα δεδομένα τοποθεσίας, ενώ στην πραγματικότητα τα ενσωματωμένα SDKs λαμβάνουν τα ίδια δεδομένα.
Στατιστικά, το πρόβλημα φαίνεται να είναι εκτεταμένο. Σύμφωνα με στοιχεία του NowSecure από το 2025, περίπου το 70% των εφαρμογών Android που δοκιμάστηκαν περιείχαν τόσο ευαίσθητα δεδομένα όσο και tracking domains, αναδεικνύοντας πόσο διαδεδομένος είναι ο ενσωματωμένος κώδικας παρακολούθησης. Αξίζει να σημειωθεί ότι παρόμοια μοτίβα εντοπίστηκαν και σε περίπου τρία τέταρτα των εφαρμογών iOS, γεγονός που δείχνει ότι πρόκειται για πρόβλημα ολόκληρης της βιομηχανίας κινητών εφαρμογών και όχι αποκλειστικά του Android.
Το EFF είναι σαφές στη θέση του: «Τα δικαιώματα τοποθεσίας σε επίπεδο εφαρμογής δεν μπορούν από μόνα τους να σηματοδοτούν ουσιαστική συγκατάθεση για τη συλλογή και κοινοποίηση τοποθεσίας από advertising SDKs τρίτων». Ο οργανισμός καλεί τους προγραμματιστές να απενεργοποιούν κάθε περιττή συλλογή δεδομένων και τα SDKs να μην κάνουν την κοινοποίηση προσωπικών δεδομένων προεπιλεγμένη ρύθμιση — ιδίως για δεδομένα τόσο ευαίσθητα όπως η τοποθεσία.
Τι πρέπει να κάνουν οι προγραμματιστές Android SDKs
Οι προγραμματιστές εφαρμογών Android που χρησιμοποιούν advertising SDKs θα πρέπει να προβούν σε άμεσο έλεγχο των βιβλιοθηκών τρίτων που έχουν ενσωματώσει στις εφαρμογές τους. Συγκεκριμένα, συνιστάται να ελέγξουν τις ρυθμίσεις κάθε SDK και να απενεργοποιήσουν ρητά τη συλλογή δεδομένων τοποθεσίας όπου δεν είναι απαραίτητη. Επίσης, θα πρέπει να ελαχιστοποιήσουν τον αριθμό των ενσωματωμένων SDKs και να επιλέγουν μόνο εκείνα που προσφέρουν διαφάνεια ως προς τη συλλογή δεδομένων.
Από την πλευρά των χρηστών, η πρακτική συμβουλή είναι να εξετάζουν προσεκτικά ποιες εφαρμογές έχουν πρόσβαση στην ακριβή τοποθεσία τους και να προτιμούν την επιλογή «Μόνο κατά τη χρήση» ή «Κατά προσέγγιση τοποθεσία» όπου αυτό είναι εφικτό. Το Android προσφέρει ήδη τη δυνατότητα επιλογής μεταξύ ακριβούς και κατά προσέγγιση τοποθεσίας, και οι χρήστες θα πρέπει να αξιοποιούν αυτή την επιλογή συνειδητά. Η τακτική επανεξέταση των δικαιωμάτων εφαρμογών από τις ρυθμίσεις του Android μπορεί επίσης να μειώσει σημαντικά την έκθεση σε αδικαιολόγητη συλλογή δεδομένων.
Δείτε επίσης: Το Find Hub του Android επιτρέπει τώρα την αφαίρεση παλιών Bluetooth ακουστικών & earbuds
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Συνολικά, η έκθεση του EFF αναδεικνύει μια δομική αδυναμία στο μοντέλο αδειών του Android που επηρεάζει εκατομμύρια χρήστες παγκοσμίως. Η λύση δεν είναι απλή, καθώς απαιτεί συντονισμένη δράση από τη Google, τους παρόχους SDKs, τους προγραμματιστές εφαρμογών και τις ρυθμιστικές αρχές. Ωστόσο, το πρώτο βήμα — η ευαισθητοποίηση των προγραμματιστών για το πρόβλημα — είναι ακριβώς αυτό που επιδιώκει η έκθεση αυτή. Η πίεση για μεγαλύτερη διαφάνεια στα advertising SDKs και αυστηρότερες απαιτήσεις συγκατάθεσης αναμένεται να ενταθεί τους επόμενους μήνες, καθώς ρυθμιστικές αρχές σε ΕΕ και ΗΠΑ στρέφουν την προσοχή τους στην αλυσίδα εφοδιασμού δεδομένων τοποθεσίας από κινητές εφαρμογές.
