Pelacakan lokasi melalui iklan dalam aplikasi: semua orang mengetahui lokasi saya

• Lebih dari 2.000 aplikasi yang ditemukan di App Store dan Google Play terindikasi mengumpulkan data lokasi tanpa persetujuan pengguna
• Penulis artikel ini bereksperimen dengan membeli sendiri data lokasi tersebut untuk melihat apakah ia bisa melacak dirinya sendiri
• Kesimpulannya, alamat IP dan data lokasi ternyata bocor ke berbagai pihak, dan sejumlah besar informasi pengguna berpindah tangan melalui protokol iklan (mis. OpenRTB)
• Namun, untuk benar-benar membeli data tersebut dibutuhkan biaya puluhan ribu hingga ratusan ribu dolar, dan data pengguna Eropa terutama lebih mahal
• Meski begitu, hal ini kembali menegaskan bahwa data tersebut bisa dibeli dari mana saja

Titik awal

• iPhone 11 untuk eksperimen di-reset ke setelan pabrik dan disiapkan dengan Apple ID baru
• Untuk menganalisis lalu lintas jaringan, Charles Proxy dan sertifikat SSL dipasang agar permintaan HTTPS bisa didekripsi
• Sebagai contoh aplikasi, dipilih game sederhana bernama “Stack”; saat dijalankan, dalam jeda yang sangat singkat muncul banyak permintaan untuk iklan dan analitik

Permintaan dalam jumlah besar

• Hanya dalam 1 menit setelah aplikasi dijalankan, terlihat jumlah permintaan jaringan yang sangat besar
• Setiap permintaan memuat beragam data seperti lokasi, alamat IP, pengenal iklan, dan detail perangkat
• Setelah diperiksa satu per satu, terlihat bahwa meski pengguna tidak memberi persetujuan, informasi sensitif tetap dikirim ke banyak tempat

Unity [ads]

• Jika SDK Unity Ads dipasang di aplikasi, berbagai informasi seperti data lokasi dan alamat IP dikirim ke server Unity
• Pengenal bernama “ifv” (ID For Vendor), data lokasi saat terhubung ke Wi‑Fi (longitude·latitude), dan timestamp ikut dikumpulkan
• Saat Unity terhubung dengan perusahaan DSP seperti Moloco Ads, informasi ini juga diteruskan ke pihak ketiga selama proses bidding iklan

Mengapa Facebook muncul?

• Meskipun tidak memasang aplikasi terkait Meta atau Facebook sama sekali, alamat IP dan timestamp tetap dikirim ke Facebook selama komunikasi iklan dalam aplikasi
• Jika Facebook dapat mengidentifikasi akun yang menggunakan IP yang sama melalui jalur lain, besar kemungkinan data ini bisa digabungkan dengan riwayat penggunaan layanan Meta milik pengguna
• Hal ini tidak diberitahukan dengan layak kepada pengguna sebelumnya, dan pada praktiknya juga tidak ada prosedur persetujuan

Mengapa kecerahan layar dibutuhkan?

• Unity Ads meminta informasi status perangkat seperti kecerahan layar, kondisi baterai, kapasitas memori, dan apakah headset terhubung
• Ada kekhawatiran bahwa informasi semacam ini dapat disalahgunakan untuk iklan yang dipersonalisasi maupun penawaran harga dinamis
• Seperti rumor bahwa Uber menyesuaikan tarif berdasarkan kondisi baterai, secara teknis kemungkinan itu memang terbuka

Memahami ID

• ifv (ID for Vendor) adalah pengenal yang diberikan pada tingkat pengembang aplikasi
• advertisingTrackingId (IDFA) adalah pengenal yang memungkinkan pelacakan pengguna yang sama di berbagai aplikasi
• Jika pelacakan ditolak, IDFA diterbitkan dalam bentuk “0000…”, tetapi IP dan berbagai ID lain tetap dikirim sehingga pelacakan secara efektif masih bisa dilakukan lewat jalur lain

Perbedaan berdasarkan izin pelacakan

• Baik pelacakan iklan disetel ke “izinkan” maupun “tolak”, lokasi, IP, informasi browser, dan sebagainya tetap terus dikirim
• Hanya IDFA yang tidak terekspos, tetapi masih ada cukup banyak elemen pengenal lain untuk memungkinkan identifikasi pengguna yang sama
• Platform seperti Facebook memiliki kemampuan untuk mengidentifikasi pengguna secara tidak langsung melalui IP

Bagaimana data mengalir?

• Data diteruskan dalam urutan aplikasi → Unity [ads] → Molocoads → pengiklan (Bwin, dll.)
• SSP (Supply-Side Platform) seperti Unity mengumpulkan data dari SDK di dalam aplikasi, lalu DSP (Demand-Side Platform) seperti Molocoads melakukan bidding iklan berdasarkan data tersebut
• Dalam proses perantara data ini, selain pengiklan, banyak broker lain juga bisa memperoleh data lokasi, informasi perangkat, dan sebagainya

Broker data

• Di pasar seperti Datarade dan Databricks, data lokasi pengguna berbasis MAID (advertising ID) diperdagangkan
• Perusahaan seperti Redmob bahkan menjual data lokasi real-time (diperbarui dalam 5 detik)
• AGR Marketing Solutions dan lainnya juga menjual data yang mencocokkan MAID dengan PII nyata (informasi identitas pribadi), termasuk nama, alamat, dan nomor telepon

Melacak diri sendiri secara langsung

• Pasang aplikasi agar data lokasi terkumpul secara rutin selama penggunaan sehari-hari
• Perusahaan iklan atau broker lalu memperoleh data IP + lokasi + advertising ID
• Setelah itu, beli dataset MAID <> PII lalu gabungkan identitas nyata berdasarkan IDFA atau IP milik sendiri
• Hasilnya, pengguna sendiri pada akhirnya bisa membeli, menggabungkan, dan melacak data lokasinya sendiri

Penutup

• Perdagangan data dalam ekosistem iklan global mungkin tampak legal jika tiap tahap dilihat terpisah, tetapi jika dilihat secara keseluruhan, ini menjadi pelanggaran privasi yang serius
• Masalah ini kembali disorot oleh insiden kebocoran besar seperti Gravy Analytics baru-baru ini
• Menyetel penolakan pelacakan iklan pun tidak menjamin perlindungan sempurna
• Jelas ada keterbatasan karena pengguna sulit mengetahui ke mana dan bagaimana data mereka mengalir saat menggunakan aplikasi

[GN⁺]

Komentar Hacker News

• Ada masalah privasi karena informasi kontak bisa dengan mudah diperjualbelikan. Jika membagikan kontak ke aplikasi seperti TikTok, nama, nomor telepon, email, dan sebagainya bisa bocor. Saat ada masalah dengan layanan pelanggan, saya pernah memakai cara membeli kontak eksekutif lalu menghubungi mereka langsung. Namun, ada efek samping seperti akun CashApp bisa ditutup

• Artikel tentang privasi sering kali kurang detail teknis atau cenderung dibesar-besarkan. Ada riset Mozilla tentang kebijakan privasi mobil, tetapi detail teknis nyatanya kurang. Misalnya, apakah mobil merekam percakapan, di mana data disimpan, dan apakah dikirim ke pihak ketiga. Tanpa detail seperti ini, artikel-artikel tersebut bisa hanya memicu ketidakpercayaan

• Saya membayar sewa lewat perusahaan bernama Bilt, dan setiap kali belanja di Walgreens saya menerima email struk pembelian. Saya berharap item sensitif dikecualikan. Saya penasaran bagaimana data itu diteruskan dari Walgreens ke perusahaan sewa, tetapi mungkin lebih baik memakai uang tunai atau cek resmi

• Menarik bahwa orang-orang yang bekerja di industri IT membangun industri iklan, penjualan data pribadi, dan pelacakan, sambil menjadi pihak yang paling keras mengeluhkannya

• Informasi seperti kecerahan layar, jumlah memori, volume saat ini, dan apakah sedang memakai headphone dapat digunakan untuk mendeanonimkan pengguna

• Klaim bahwa LTE akan memberikan informasi lokasi yang lebih akurat itu keliru. Aplikasi tidak bisa mendapatkan informasi cellid tanpa izin lokasi. Aplikasi gratis mengklaim mengumpulkan lokasi yang akurat, tetapi sebenarnya tidak akurat

• Ada kekhawatiran bahwa bursa iklan akan menemukan cara untuk melakukan pelacakan lintas aplikasi meski tanpa IDFA. Secara teori hal itu dilarang, tetapi sulit untuk menegakkannya

• Aplikasi Reddit di ponsel saya tidak punya izin, tetapi tetap merekomendasikan komunitas berdasarkan lokasi. Itu direkomendasikan di setiap kota yang saya kunjungi saat bepergian

• Disarankan untuk menghindari penggunaan aplikasi seluler jika bisa digantikan dengan situs web