Разрешението за геолокация, което потребителите предоставят на приложенията с цел навигация, прогноза за времето или измерване на скоростта може да даде достъп до координатите на съвсем друга компания. Проучване на Electronic Frontier Foundation показа, че рекламните библиотеки, вградени в Android приложенията могат автоматично да получават данни за местоположението заедно със самото приложение и да изпращат координатите към рекламната екосистема. При това потребителят може дори да не подозира, че данните му се изпращат на рекламодатели и брокери.
Проблемът е свързан със самата платформа Android. Потребителят дава достъп до геолокацията на цялото приложение, а системата не изисква отделно разрешение за вградения рекламен SDK. Поради това външната библиотека в приложението получава същите възможности. Разработчикът дори не е длъжен специално да предава координатите на рекламната мрежа. При определени настройки SDK ще направи всичко самостоятелно.EFF проучи документацията на десетки рекламни SDK и отделено посочи четири системи, при които събирането на геолокационни данни може да работи по подразбиране, след като приложението получи съответното разрешение. В списъка попаднаха InMobi, BidMachine, HyBid от Verve и Petal Ads от Huawei. Според данните на самите разработчици на платформите, такива библиотеки се използват в хиляди приложения и потенциално обхващат милиарди устройства.
Особено показателен е примерът с InMobi. В документацията на компанията се посочва, че SDK автоматично предава наличните сигнали за местоположение. Разработчикът може да деактивира тази функция, но InMobi същевременно препоръчва геолокацията да остане активирана, тъй като рекламите с данни за местоположението обикновено носят по-големи приходи. Компанията също така съветва да се изисква точно местоположение за по-прецизно таргетиране на рекламите.
EFF откри подобна ситуация и при BidMachine. Документацията на SDK по-рано твърдеше, че точни координати не се събират, но техническият анализ на приложенията QR Scanner и GPS Speedometer показа предаване на точни координати към домейна на BidMachine. След обръщението на изследователите компанията коригира документацията и посочи, че SDK действително получава точното местоположение, ако потребителят е разрешил на приложението съответния достъп. При това QR Scanner е изтеглено над 50 милиона пъти, а GPS Speedometer – над 10 милиона пъти.
Изследователите не откриха в тези две приложения отделно предупреждение за предаването на координати на рекламна компания. В разделите на Google Play, посветени на сигурността на данните също не беше посочено, че приложенията могат да споделят геолокацията с трети страни. Потребителите са разрешавали достъпа до GPS за основната функция на приложението, без да подозират, че същото разрешение ще бъде използвано и от рекламния код.
Рекламните SDK се интересуват от координатите не само с цел показване на реклами в близост. Данните могат да попадат в системи за автоматични рекламни търгове (RTB), където информацията за потребителя се предава на множество участници в търга. Брокерите на геолокационни данни могат да участват в такива търгове не с цел закупуване на реклама, а с цел събиране на информация от рекламните заявки. В резултат на това маршрутът на даден човек може да премине през дълга верига от компании, с които собственикът на телефона никога съзнателно не е взаимодействал.
Рисковете отдавна са надхвърлили границите на натрапчивата реклама. Според данни на EFF, геолокационните данни от рекламната индустрия вече са били използвани при разследвания на американската имиграционна служба ICE, в търговски инструменти за следене, както и за наблюдение на профсъюзни активисти и американски военнослужещи. EFF призовава разработчиците да проверяват поведението на всички SDK на трети страни и ръчно да деактивират ненужното събиране на данни. Изследователите считат самия подход с предаване на координати по подразбиране за опасен. Потребителят, който е разрешил на приложението да узнае местоположението му, не е дал по този начин съзнателно съгласие на рекламните мрежи и брокерите да изграждат история на неговите придвижвания.