Electronic Frontier Foundation tarafından yapılan yeni bir araştırma, Android uygulama geliştiricilerinin farkında olmadan kullanıcıların hassas konum verilerini üçüncü taraflarla paylaştığını ortaya çıkardı. Araştırmaya göre, uygulamalara entegre edilen bazı yazılım geliştirme kitleri, veri toplama ayarları varsayılan olarak açık geldiği için kullanıcı bilgilerini reklam verenlere ve veri simsarlarına aktarıyor.

SDK Kitleri Yoluyla Veri Sızıntısı

EFF'nin analizlerine göre, uygulama geliştiricileri uygulamalarına reklam geliri elde etmek için üçüncü taraf kod parçaları yani yazılım geliştirme kitleri (SDK) ekliyor. Ancak bu kitler, kullanıcının uygulamaya verdiği konum iznini otomatik olarak devralıyor. Geliştirici bu veri toplama özelliğini manuel olarak kapatmadığı sürece, hassas konum geçmişi doğrudan dış servislerin eline geçiyor.

Milyonlarca Kullanıcı Risk Altında

EFF, ağ trafiği analizleri sonucunda toplu olarak 60 milyon kez indirilmiş iki uygulamanın sessizce konum verilerini paylaştığını tespit etti. Kurumun kıdemli teknoloğu Bill Budington, incelenen SDK'ların reklam ekosisteminin küçük bir kısmını oluşturmasına rağmen, on binlerce uygulama üzerinden milyarlarca kullanıcıya ulaştığını belirtti.

Ulusal Güvenlik ve Gizlilik Tehdidi

Toplanan bu verilerin sadece reklam amaçlı değil; istihbarat ajansları, hükümetler ve ordular tarafından satın alındığı ifade ediliyor. Ayrıca veri simsarlarının yaşadığı siber saldırılar, bu hassas bilgilerin çalınması durumunda ciddi güvenlik riskleri oluşturuyor. EFF, uygulama düzeyindeki izinlerin üçüncü taraf SDK'lar için yeterli bir rıza beyanı sayılamayacağını vurguladı.

Ne anlama geliyor?

Mobil yazılımlar geliştirilirken kullanılan hazır kod kütüphaneleri, ana uygulamanın sahip olduğu tüm sistem yetkilerine erişebilir. Eğer bir kullanıcı, kullandığı araca konum erişim izni vermişse, o aracın içine yerleştirilmiş olan yan servisler de bu izni kullanarak veri çekebilir. Bu durum, son kullanıcının sadece ana yazılıma güvendiği ancak arka planda çalışan görünmez servislerin de verileri topladığı bir yapı oluşturur.

Bu veri akışı, kullanıcıların günlük rutinlerinin, ziyaret ettikleri mekanların ve hareket alışkanlıklarının dijital bir haritasının çıkarılmasına yol açar. Toplanan bu ham veriler, analiz edilerek profillere dönüştürülür ve ticari veya stratejik amaçlarla kullanılır. Yazılım tarafında bu sorunu çözmek için, dışarıdan alınan kod paketlerinin veri toplama özelliklerinin varsayılan olarak kapalı tutulması ve sadece temel işlevler için gerekli olan minimum verinin işlenmesi gerekmektedir.