Foto dari ponsel cerdas diberi tag geotag bahkan saat pengguna tidak menyadarinya. Pengguna ponsel cerdas dapat menyesuaikan pengaturan privasi mereka untuk membatasi siapa yang dapat melihat lokasi geotaginya. (Photo Credit: US Army Graphic)

Ponsel kita bisa Mengungkapkan banyak tentang diri kita sendiri: dimana kita tinggal dan bekerja; siapa keluarga, teman dan kenalan kita; bagaimana (dan bahkan apa) kita berkomunikasi dengan mereka; dan kebiasaan pribadi kita. Dengan semua informasi yang tersimpan di dalamnya, tidak mengherankan jika pengguna perangkat mobile mengambil langkah untuk melindungi privasi mereka menggunakan PIN atau passcodes untuk membuka kunci ponsel mereka.

Penelitian yang kami dan rekan kami lakukan mengidentifikasi dan mengeksplorasi ancaman signifikan yang kebanyakan orang rindukan: Lebih dari 70 persen of aplikasi smartphone melaporkan data pribadi ke perusahaan pelacakan pihak ketiga seperti Google Analytics, API Grafik Facebook atau Crashlytics.

Saat orang memasang aplikasi Android atau iOS baru, pengguna akan meminta izin pengguna sebelum mengakses informasi pribadi. Secara umum, ini positif. Dan beberapa informasi yang dikumpulkan oleh aplikasi ini penting agar mereka dapat bekerja dengan semestinya: Aplikasi peta tidak akan terlalu berguna jika tidak dapat menggunakan data GPS untuk mendapatkan lokasi.

Namun begitu sebuah aplikasi memiliki izin untuk mengumpulkan informasi tersebut, ia dapat membagikan data Anda dengan siapa pun yang diinginkan pengembang aplikasi - membiarkan perusahaan pihak ketiga melacak lokasi Anda, seberapa cepat Anda bergerak dan apa yang Anda lakukan.

Bantuan, dan bahaya, kode perpustakaan

Aplikasi tidak hanya mengumpulkan data untuk digunakan di telepon itu sendiri. Pemetaan aplikasi, misalnya, mengirim lokasi Anda ke server yang dijalankan oleh pengembang aplikasi untuk menghitung petunjuk arah dari tempat tujuan Anda ke tujuan yang diinginkan.

Aplikasi ini juga bisa mengirim data ke tempat lain. Seperti halnya situs web, banyak aplikasi seluler ditulis dengan menggabungkan berbagai fungsi, yang sebelumnya dipicu oleh pengembang dan perusahaan lain, yang disebut pustaka pihak ketiga. Perpustakaan ini membantu pengembang lacak keterlibatan pengguna, terhubung dengan media sosial dan mendapatkan uang dengan menampilkan iklan dan fitur lainnya, tanpa harus menuliskannya dari nol.

Namun, selain bantuan berharga mereka, sebagian besar perpustakaan juga mengumpulkan data sensitif dan mengirimkannya ke server online mereka - atau ke perusahaan lain sama sekali. Penulis perpustakaan yang berhasil mungkin dapat mengembangkan profil digital pengguna yang terperinci. Misalnya, seseorang mungkin memberi satu izin aplikasi untuk mengetahui lokasi mereka, dan akses aplikasi lain ke kontak mereka. Ini awalnya merupakan izin terpisah, satu untuk setiap aplikasi. Namun, jika kedua aplikasi tersebut menggunakan pustaka pihak ketiga yang sama dan membagikan informasi yang berbeda, pengembang perpustakaan dapat menautkan potongannya bersama-sama.

Pengguna tidak akan pernah tahu, karena aplikasi tidak diharuskan memberi tahu pengguna piranti lunak apa yang mereka gunakan. Dan hanya sedikit aplikasi yang mempublikasikan kebijakan mereka tentang privasi pengguna; Jika mereka melakukannya, biasanya dalam dokumen hukum panjang orang biasa tidak akan membaca, apalagi mengerti.

Mengembangkan Lumen

Penelitian kami berusaha untuk mengungkapkan berapa banyak data yang berpotensi dikumpulkan tanpa sepengetahuan pengguna, dan memberi pengguna kontrol lebih terhadap data mereka. Untuk mendapatkan gambaran tentang apa data dikumpulkan dan dikirim dari smartphone orang, kami mengembangkan aplikasi Android gratis milik kami sendiri, yang disebut Monitor Privasi Lumen. Ini menganalisis aplikasi lalu lintas yang dikirim, untuk melaporkan aplikasi dan layanan online yang secara aktif mengumpulkan data pribadi.

Karena Lumen adalah tentang transparansi, pengguna telepon dapat melihat aplikasi yang terinstal informasi dikumpulkan secara real time dan dengan siapa mereka berbagi data ini. Kami mencoba untuk menunjukkan rincian perilaku tersembunyi aplikasi dengan cara yang mudah dimengerti. Ini tentang penelitian juga, jadi kami bertanya kepada pengguna apakah mereka akan mengizinkan kami untuk mengumpulkan beberapa data tentang apa yang Lumen melihat apl mereka lakukan - namun itu tidak termasuk data pribadi atau data sensitif privasi. Akses unik terhadap data ini memungkinkan kami mempelajari bagaimana aplikasi seluler mengumpulkan data pribadi pengguna dan dengan siapa mereka berbagi data dalam skala yang belum pernah terjadi sebelumnya.

Secara khusus, Lumen melacak aplikasi mana yang berjalan di perangkat pengguna, apakah mereka mengirim data sensitif privasi dari telepon, situs internet yang mereka kirimi data, protokol jaringan yang mereka gunakan dan jenis informasi pribadi masing-masing aplikasi kirim ke setiap situs Lumen menganalisis lalu lintas aplikasi secara lokal pada perangkat, dan menganonimkan data ini sebelum mengirimkannya kepada kami untuk dipelajari: Jika Google Maps mendaftarkan lokasi GPS pengguna dan mengirimkan alamat tertentu ke maps.google.com, Lumen mengatakan kepada kami, "Google Maps mendapat Lokasi GPS dan mengirimkannya ke maps.google.com "- bukan di tempat orang itu sebenarnya.

Pelacak ada dimana-mana

Lebih dari 1,600 orang yang telah menggunakan Lumen sejak Oktober 2015 memungkinkan kami menganalisis lebih dari aplikasi 5,000. Kami menemukan situs internet 598 yang cenderung melacak pengguna untuk tujuan periklanan, termasuk layanan media sosial seperti Facebook, perusahaan internet besar seperti Google dan Yahoo, dan perusahaan pemasaran online di bawah payung penyedia layanan internet seperti Verizon Wireless.

Kami menemukan itu lebih dari 70 persen dari aplikasi yang kami pelajari terhubung ke setidaknya satu pelacak, dan 15 persennya terhubung ke lima pelacak atau lebih. Satu dari setiap empat pelacak memanen setidaknya satu pengenal perangkat unik, seperti nomor teleponnya atau nomornya nomor IMEI unik nomor 15 unik. Pengidentifikasi unik sangat penting untuk layanan pelacakan online karena mereka dapat menghubungkan berbagai jenis data pribadi yang disediakan oleh berbagai aplikasi ke satu orang atau perangkat. Sebagian besar pengguna, bahkan yang sensitif terhadap privasi, tidak menyadari praktik tersembunyi tersebut.

Lebih dari sekedar masalah mobile

Melacak pengguna di perangkat seluler mereka hanyalah bagian dari masalah yang lebih besar. Lebih dari separuh app-tracker yang kami identifikasi juga melacak pengguna melalui situs web. Berkat teknik ini, yang disebut pelacakan "lintas perangkat", layanan ini dapat membangun profil persona online Anda yang jauh lebih lengkap.

Dan situs pelacakan individu tidak harus independen dari orang lain. Beberapa dari mereka dimiliki oleh entitas perusahaan yang sama - dan yang lainnya dapat ditelan di merger selanjutnya. Misalnya, Alfabet, perusahaan induk Google, memiliki beberapa domain pelacakan yang kami pelajari, termasuk Google Analytics, DoubleClick atau AdMob, dan melalui mereka mengumpulkan data dari lebih dari 48 persen dari aplikasi yang kami pelajari.

Identitas online pengguna tidak dilindungi oleh hukum negara asal mereka. Kami menemukan data dikirim melintasi perbatasan nasional, sering berakhir di negara-negara dengan undang-undang privasi yang meragukan. Lebih dari 60 persen koneksi ke situs pelacakan dibuat ke server di AS, Inggris, Prancis, Singapura, China dan Korea Selatan - enam negara yang telah ditempatkan teknologi pengawasan massal. Instansi pemerintah di tempat tersebut berpotensi mengakses data ini, bahkan jika pengguna berada di dalamnya negara dengan hukum privasi yang lebih kuat seperti Jerman, Swiss atau Spanyol.

Menghubungkan alamat MAC perangkat ke alamat fisik (termasuk ICSI) menggunakan Wigle. ICSI, CC BY-ND

Yang lebih mengganggu lagi, kami telah mengamati pelacak di aplikasi yang ditargetkan untuk anak-anak. Dengan menguji aplikasi anak-anak 111 di lab kami, kami mengamati bahwa 11 dari mereka membocorkan pengenal unik, Alamat MAC, dari router Wi-Fi yang terhubung dengannya. Ini adalah masalah, karena mudah cari secara online untuk lokasi fisik yang terkait dengan alamat MAC tertentu. Mengumpulkan informasi pribadi tentang anak-anak, termasuk lokasi mereka, akun dan pengenal unik lainnya, berpotensi melanggar Komisi Perdagangan Federal aturan melindungi privasi anak-anak.

Sekilas saja

Meskipun data kami mencakup banyak aplikasi Android yang paling populer, namun ini adalah contoh pengguna dan aplikasi kecil, dan oleh karena itu kemungkinan sekumpulan kecil pelacak yang mungkin ada. Temuan kami mungkin hanya menggaruk permukaan dari apa yang mungkin merupakan masalah yang jauh lebih besar yang membentang di seluruh yurisdiksi peraturan, perangkat dan platform.

Sulit untuk mengetahui apa yang mungkin dilakukan pengguna tentang hal ini. Memblokir informasi sensitif agar telepon tidak mengganggu kinerja aplikasi atau pengalaman pengguna: Aplikasi mungkin menolak berfungsi jika tidak dapat memuat iklan. Sebenarnya, iklan pemblokiran merugikan pengembang aplikasi dengan menolak sumber pendapatan untuk mendukung pekerjaan mereka di aplikasi, yang biasanya gratis bagi pengguna.

Jika orang lebih bersedia membayar pengembang untuk aplikasi, itu bisa membantu, meski bukan solusi lengkap. Kami menemukan bahwa sementara aplikasi berbayar cenderung menghubungi lebih sedikit situs pelacakan, mereka tetap melacak pengguna dan terhubung dengan layanan pelacakan pihak ketiga.

Transparansi, pendidikan dan kerangka peraturan yang kuat adalah kuncinya. Pengguna perlu tahu informasi apa tentang mereka dikumpulkan, oleh siapa, dan untuk apa penggunaannya. Hanya dengan begitu kita bisa sebagai masyarakat yang memutuskan perlindungan privasi apa yang sesuai, dan menempatkannya di tempat. Temuan kami, dan banyak peneliti lain, dapat membantu mengubah tabel dan melacak pelacak itu sendiri.

Tentang Penulis

Narseo Vallina-Rodriguez, Asisten Profesor Penelitian, IMDEA Networks Institute, Madrid, Spanyol; Ilmuwan Penelitian, Jaringan dan Keamanan, Institut Ilmu Komputer Internasional berbasis di, University of California, Berkeley dan Srikanth Sundaresan, Rekan Penelitian Ilmu Komputer, Princeton University

Artikel ini awalnya diterbitkan pada Percakapan. Membaca Artikel asli.

Buku terkait:

at Pasar InnerSelf dan Amazon