In questo articolo Indice dei contenuti 2 sezioni
Basta concedere il permesso di localizzazione a un’app meteo o di navigazione, magari solo per avere previsioni più precise o indicazioni migliori nel traffico, e all’improvviso la propria posizione può finire nelle mani di aziende mai sentite nominare. Il tracciamento non parte quasi mai dallo sviluppatore dell’app, ma da qualcosa di nascosto sotto la superficie. Un meccanismo sistematico, ben documentato dalla Electronic Frontier Foundation, che coinvolge milioni di dispositivi senza che nessuno se ne accorga davvero.
Il vero colpevole ha un nome tecnico ma poco conosciuto: si chiama SDK pubblicitario. In pratica è un pezzo di codice di terze parti che viene inserito nelle app per gestire gli annunci e misurare quanto funzionano. Il problema è che questi strumenti arrivano già impostati per raccogliere la posizione degli utenti, e spesso chi realizza l’applicazione non se ne rende nemmeno conto. Un consenso concesso all’app, insomma, viene ereditato in automatico da questi componenti nascosti. Uno solo basta per tutti, anche per chi non è mai stato autorizzato in modo esplicito.
Quali SDK sono coinvolti e perché la faccenda è più seria del previsto
La EFF ha individuato quattro SDK pubblicitari che raccolgono e condividono la localizzazione per impostazione predefinita: InMobi, BidMachine, HyBid di Verve e Petal Ads di Huawei. Non è escluso che ce ne siano altri con lo stesso comportamento, semplicemente non ancora esaminati. Il rapporto lo dice chiaramente, il quadro potrebbe essere più ampio di così.
E qui arriva la parte più scomoda. Non parliamo di un rischio teorico. In passato i dati di localizzazione raccolti attraverso l’ecosistema pubblicitario sono stati usati per tracciare militari statunitensi, supportare indagini di agenzie governative e alimentare strumenti di sorveglianza. Questo trasforma quella che sembrerebbe una banale questione di privacy individuale in qualcosa di molto più concreto e inquietante.
Lena Cohen, tecnologa della EFF, ha messo il dito nella piaga. Gli utenti possono adottare misure aggiuntive per proteggersi, ma non dovrebbero essere costretti a farlo. La responsabilità, secondo la fondazione, ricade su sviluppatori, autorità di regolamentazione e legislatori, che dovrebbero impedire alle app di trasmettere i dati alle aziende pubblicitarie e ai broker di dati.
Cosa può fare davvero un utente per difendersi
La verità è un po’ amara. Dal punto di vista pratico, chi usa lo smartphone non ha molte armi. Si può limitare il permesso alle app che ne hanno realmente bisogno, scegliendo l’opzione “solo durante l’utilizzo” invece di “sempre”. Utile, ma non risolutivo. Il nodo resta più in alto, tra chi sviluppa le app e chi dovrebbe regolamentare il settore.
Gli sviluppatori, infatti, possono disabilitare la raccolta dati non necessaria prima di integrare un SDK, ma queste impostazioni non saltano all’occhio e richiedono una revisione attenta. Chi non lo fa, anche in totale buona fede, lascia che il codice di terze parti lavori indisturbato. La EFF chiede pure alle autorità di controllo di mettere sotto la lente le aziende i cui SDK spingono verso questa raccolta massiccia di informazioni.
Il punto più fastidioso di tutta la vicenda è proprio questo: anche l’utente più attento, quello che legge le autorizzazioni prima di premere “consenti”, non ha modo di sapere quante mani stia stringendo ogni volta che condivide la propria posizione con un’applicazione.
