Brottsbekämpande myndigheter använde annonsnätverk för att spåra 500 miljoner enheter

En ny rapport från Citizen Lab har avslöjat ett övervakningsverktyg kallat Webloc som brottsbekämpande myndigheter i USA, Ungern och El Salvador har använt för att övervaka upp till 500 miljoner mobila enheter världen över. Verktyget förlitar sig inte på traditionella avlyssningar eller domstolsbeordrade ingripanden. I stället utnyttjar det samma reklaminfrastruktur som driver de gratisappar du har på din telefon.

Resultaten väcker allvarliga frågor om hur regeringar anskaffar och använder kommersiellt tillgängliga uppgifter, och vad det innebär för integriteten hos vanliga människor som aldrig har misstänkts för något brott.

Vad är Webloc och hur fungerar det?

Webloc samlar in data från mobilappar och digitala annonsnätverk. När du använder en gratisapp delar den vanligtvis information med annonsnätverk för att visa dig riktad reklam. Dessa uppgifter inkluderar ofta en enhetsidentifierare, exakta platskoordinater och profilattribut som uppskattad ålder, intressen och surfbeteende.

Webloc sammanställer denna information och gör den sökbar för brottsbekämpande myndigheter. Myndigheterna kan använda den för att spåra en enhets historiska rörelser, identifiera var någon bor eller arbetar och bygga upp en detaljerad beteendeprofil – allt utan att behöva inhämta ett traditionellt tillstånd för platsdata.

Verktygets räckvidd är slående. Annonsnätverk verkar globalt och samlar in data passivt, vilket innebär att en enhetsägare inte behöver göra något ovanligt för att dyka upp i datamängden. Det räcker helt enkelt att använda appar som visar annonser.

Övervakningning utan tillstånd via en kommersiell bakdörr

Den rättsliga inramningen spelar roll här. Domstolar i många jurisdiktioner har infört restriktioner för hur regeringar kan samla in platsdata direkt från teleoperatörer eller GPS-system. Men att köpa eller licensiera samma data via kommersiella mellanhänder har existerat i ett gråzonsområde som lagstiftarna har varit sena att hantera.

Citizen Labs rapport belyser att detta inte är ett hypotetiskt kryphål. Regeringar utnyttjar det aktivt. Att myndigheter i tre länder med väldigt olika rättssystem är inblandade antyder att verktyg i Weblocs stil är attraktiva just för att de kringgår de tillståndskrav som skulle gälla för direkta övervakningsmetoder.

Ungern och El Salvador har båda dokumenterade fall av att ha använt övervakningsteknologi mot journalister, aktivister och politiska motståndare, vilket gör avslöjandet av detta verktyg särskilt betydelsefullt för forskare inom medborgerliga friheter.

Vad detta betyder för dig

Du behöver inte vara av intresse för brottsbekämpande myndigheter för att detta ska påverka dig. De uppgifter som samlas in av annonsnätverk är urskillningslösa. De flödar från din enhet varje gång en app kontaktar en annonsserver, oavsett vad du gör eller vem du är.

Några praktiska punkter värda att känna till:

  • Enhetsidentifierare är beständiga. Din telefons annons-ID är utformat för att följa dig mellan appar. Att återställa det regelbundet minskar kontinuiteten i din profil, även om det inte eliminerar datainsamlingen helt.
  • Platsbehörigheter spelar roll. Appar som begär exakt platsåtkomst i bakgrunden är de mest sannolika bidragsgivarna till den typ av data som Webloc samlar in. Att granska och begränsa platsbehörigheter för appar som inte genuint behöver dem är ett enkelt steg.
  • Annonsbaserad datainsamling är i stort sett osynlig. Till skillnad från en webbspårningskaka som du teoretiskt sett kan rensa, presenteras inte data som flödar via mobila annons-SDK:er för användarna på något meningsfullt sätt.
  • VPN kan begränsa en del exponering. Att maskera din IP-adress minskar en datapunkt som annonsnätverk använder för att korrelera din aktivitet och uppskatta din plats, men ett VPN ensamt hindrar inte en app från att läsa din enhets GPS-koordinater om du har beviljat den behörigheten.
  • Integritetsinriktade operativsysteminställningar hjälper. Både Android och iOS har lagt till alternativ för att begränsa annonsspårning på systemnivå. Att aktivera dessa alternativ gör dig inte osynlig, men det minskar den mängd information som kan användas för att bygga en profil.

Citizen Labs rapport påminner oss om att den dataekonomi som skapades för att tjäna annonsörer också har blivit en infrastruktur för statlig övervakning. De två var aldrig helt åtskilda, men den skala och den operativa detaljrikedom som avslöjas här gör sambandet konkret.

Den mest effektiva reaktionen är inte panik utan medvetna beteendeförändringar. Granska apparna på din enhet, begränsa behörigheter som inte fyller ett tydligt syfte och behandla platsåtkomst som en känslig behörighet snarare än en rutinmässig sådan. Dessa åtgärder kommer inte att skydda någon från en målmedveten och välfinansierad utredning, men de minskar avsevärt den passiva exponeringen för massdatainsamlingsprogram som Webloc.

I takt med att regeringar och domstolar fortsätter att debattera var de rättsliga gränserna bör dras, är användare som förstår hur denna datapipeline fungerar bättre rustade att skydda sig inom den.