X-Mode continua a monitorare gli utenti nonostante i divieti in App Store e in Google Play

Centinaia di app Android, molto più di quanto precedentemente divulgato, hanno inviato dati granulari sulla posizione degli utenti a X-Mode, un broker di dati noto per la vendita di dati sulla posizione ad appaltatori militari statunitensi.

Le app includono app di messaggistica, un convertitore di file e video gratuito, diversi siti di incontri e app di religione, ognuna delle quali conta decine di milioni di download.

Sean O’Brien, ricercatore principale presso ExpressVPN Digital Security Lab , ed Esther Onfroy, co-fondatrice dell’agenzia Defensive Lab, hanno trovato quasi 200 app Android che a un certo punto nell’ultimo anno contenevano codice di monitoraggio X-Mode.

Alcune delle app stavano ancora inviando dati sulla posizione a X-Mode fino a dicembre, quando Apple e Google hanno detto agli sviluppatori di rimuovere X-Mode dalle loro app o di affrontare un divieto dagli app store.

Ma settimane dopo che il divieto è entrato in vigore, una popolare app per mappe dei trasporti degli Stati Uniti che era stata installata centinaia di migliaia di volte era ancora scaricabile da Google Play anche se sta ancora inviando dati sulla posizione a X-Mode.

Si ritiene che la nuova ricerca, ora pubblicata , sia la revisione più ampia fino ad oggi di app che collaborano con X-Mode, una delle dozzine di aziende in un settore multimiliardario che acquista e vende l’accesso ai dati sulla posizione raccolti dalle normali app del telefono, allo scopo di fornire pubblicità mirata.

Ma X-Mode ha affrontato un controllo più approfondito per i suoi collegamenti con il lavoro del governo, tra i nuovi rapporti secondo cui l’intelligence statunitense ha acquistato l’accesso ai dati di localizzazione commerciale per cercare i movimenti passati degli americani senza prima ottenere un mandato.

X-Mode paga gli sviluppatori di app per includere il relativo codice di monitoraggio, noto come kit di sviluppo software o SDK, in cambio della raccolta e della consegna dei dati sulla posizione dell’utente.

Gli utenti acconsentono a questo monitoraggio accettando i termini di utilizzo e le politiche sulla privacy dell’app.

I legami di X-Mode con gli appaltatori sono stati rivelati per la prima volta da Motherboard , che per primo ha riferito che una popolare app di preghiera con oltre 98 milioni di download in tutto il mondo ha inviato dati granulari sui movimenti a X-Mode.

A novembre, Motherboard ha scoperto che un’altra app di preghiera musulmana precedentemente non segnalata chiamata Qibla Compass inviava dati a X-Mode. Le scoperte di O’Brien lo confermano e indicano anche che molte altre app contengono X-Mode.

Conducendo un’analisi del traffico di rete, Motherboard ha verificato che almeno tre di queste app a un certo punto hanno inviato dati sulla posizione a X-Mode, sebbene nessuna delle versioni attualmente su Google Play lo faccia.

L’anno scorso, l’amministratore delegato di X-Mode, Josh Anton, ha dichiarato alla CNN che il broker di dati tiene traccia di 25 milioni di dispositivi e ha detto a che il suo SDK era stato utilizzato in circa 400 app.

In una dichiarazione, Anton ha dichiarato:

Il divieto dell’SDK di X-Mode ha implicazioni più ampie per l’ecosistema considerando che X-Mode ha raccolto dati di app mobili simili alla maggior parte degli SDK pubblicitari. Apple e Google hanno stabilito il precedente di poter determinare la capacità delle imprese private di raccogliere e utilizzare i dati delle app mobili anche quando la maggior parte dei nostri editori aveva un consenso secondario per la raccolta e l’utilizzo dei dati sulla posizione.

Di recente abbiamo inviato una lettera ad Apple e Google per capire come possiamo risolvere al meglio questo problema insieme in modo da poter continuare a utilizzare i dati sulla posizione per salvare vite umane e continuare a potenziare la capacità delle comunità tecnologiche di creare prodotti basati sulla posizione.
Riteniamo sia importante garantire che Apple e Google mantengano la modalità X allo stesso standard che mantengono su se stessi quando si tratta di raccolta e utilizzo dei dati sulla posizione.

I ricercatori hanno anche pubblicato nuovi endpoint con cui le app che utilizzano l’SDK di X-Mode sono noti per comunicare, e O’Brien ha affermato di sperare che aiutino gli altri a scoprire quali app stanno inviando – o hanno storicamente inviato – i dati sulla posizione degli utenti a X-Mode.

“Ci auguriamo che i consumatori possano identificare se sono l’obiettivo di uno di questi localizzatori di posizione e, cosa più importante, chiedere che questo spionaggio finisca. Vogliamo che i ricercatori si basino sulle nostre scoperte nell’interesse pubblico, contribuendo a far luce su queste minacce alla privacy, alla sicurezza e ai diritti “, ha affermato O’Brien.