Android kullanıcıları dikkat: Konum verileriniz reklam şirketlerine aktarılıyor olabilir

Android kullanıcılarının bir uygulamaya verdiği konum izni, yalnızca uygulamanın kendi özellikleri için kullanılmıyor olabilir. Electronic Frontier Foundation (EFF) tarafından yürütülen yeni araştırma, bazı reklam Yazılım Geliştirme Kitlerinin konum verilerini varsayılan olarak toplayabildiğini gösterdi. SDK olarak adlandırılan bu yazılım paketleri, geliştiricilerin uygulamalara reklam ve gelir elde etme özellikleri eklemesini kolaylaştırıyor. Ancak bir uygulamanın içine yerleştirilen SDK, uygulamaya tanınan konum erişiminden ayrıca izin istemeden yararlanabiliyor. Başka bir ifadeyle kullanıcı, hava durumu, navigasyon veya hız ölçümü gibi temel bir işlev için konum izni verdiğinde reklam altyapısı da aynı veriye erişebiliyor. Kullanıcıların büyük bölümü ise kullandıkları uygulamalarda farklı şirketler tarafından hazırlanmış kodların bulunduğunu veya verilen iznin bu kodları da kapsadığını bilmiyor. Böylece uygulama geliştiricisinin doğrudan amaçlamadığı durumlarda bile konum bilgileri reklam teknolojisi şirketlerine ve daha geniş veri ekosistemlerine aktarılabiliyor. EFF, uygulama düzeyinde verilen tek bir iznin, konum bilgilerinin üçüncü taraflarla paylaşılması için anlamlı ve yeterli bir kullanıcı onayı sayılamayacağını vurguluyor.

Android’de uygulamaların içine yerleştirilen SDK’lar için ayrı bir konum izni sistemi bulunmaması, araştırmada öne çıkan temel sorunlardan biri oldu. Kullanıcı bir uygulamanın konuma erişmesine izin verdiğinde, o uygulamanın bünyesindeki üçüncü taraf SDK’lar da teknik olarak aynı erişim imkânına kavuşuyor. Bu SDK’lar elde ettikleri bilgileri gerçek zamanlı reklam açık artırmalarında gönderilen teklif isteklerine dahil edebiliyor. Reklam alanını satın almak isteyen çok sayıda şirketin katıldığı bu sistemlerde kullanıcıya ait veriler oldukça geniş bir çevreye yayılabiliyor. Yaklaşık konum bilgisi daha geniş bir bölgeyi gösterirken kesin konum izni, EFF’nin aktardığına göre bazı durumlarda kullanıcının yerini birkaç metre hassasiyetle belirleyebiliyor. Konum bilgisi eklenen reklam gösterimlerinin daha değerli olması, geliştiriciler ve reklam şirketleri açısından veri paylaşımını teşvik eden mali bir unsur da oluşturuyor. Bu nedenle sorun yalnızca teknik bir varsayılan ayardan değil, konum verisi içeren reklamların daha fazla gelir sağlayabilmesinden de kaynaklanıyor. EFF’nin araştırması, bu yapının kullanıcıların hareketlerinin reklam şirketleri ve veri aracıları tarafından takip edilmesine kapı açabileceğine dikkat çekiyor.

Dört reklam SDK’sı incelemeye alındı

EFF, Android uygulamalarında kullanılan onlarca reklam SDK’sının kamuya açık geliştirici belgelerini inceleyerek konum verilerinin nasıl ele alındığını araştırdı. İncelemede özellikle InMobi, BidMachine, Verve tarafından sunulan HyBid ve Huawei Petal Ads SDK’larının varsayılan ayarlarına odaklanıldı. Kuruluşun bulgularına göre bu dört SDK, uygulamanın konum iznine sahip olması durumunda verileri reklam hedeflemesi amacıyla varsayılan olarak kullanabiliyor. Söz konusu SDK’ların Android ekosistemindeki en yaygın reklam araçları olmadığı belirtilse de binlerce uygulamada yer aldıkları ve toplamda milyarlarca kullanıcıya ulaşabildikleri ifade ediliyor. Araştırmada, bazı geliştirici belgelerinin konum paylaşımının sağlayabileceği reklam gelirini öne çıkardığı, ancak veri aktarımının nasıl kapatılacağını aynı açıklıkla göstermediği tespit edildi. Bu durum, uygulama geliştiricilerinin de kullanıcı konumunun üçüncü taraflara gönderildiğini fark etmeden varsayılan ayarları kullanmasına yol açabiliyor. Üstelik farklı araştırmalar, geliştiricilerin SDK’ları çoğunlukla başlangıçta sunulan ayarlarla kullanmaya devam ettiğini gösteriyor. EFF’ye göre kişisel verilerin paylaşılmasını kolaylaştıran bu varsayılan yapı, sorumluluğu yalnızca uygulama geliştiricilerine bırakmayacak ölçüde sistematik bir gizlilik problemi oluşturuyor.

InMobi’nin geliştirici belgelerinde, kullanılabilir olduğu durumlarda konum sinyallerinin SDK tarafından otomatik biçimde iletildiği belirtiliyor. Aynı belgelerde konum bilgisiyle zenginleştirilmiş reklam gösterimlerinin genellikle daha yüksek gelir getirdiği de geliştiricilere hatırlatılıyor. BidMachine ise uygulamanın gerekli izne sahip olması hâlinde cihazın konumunu daha uygun reklamlar göstermek amacıyla otomatik olarak takip edebildiğini açıklıyor. EFF, BidMachine SDK’sını içeren QR Scanner ve GPS Speedometer adlı iki uygulamanın ağ trafiğinde kesin konum koordinatları tespit ettiğini bildirdi. Araştırma kuruluşunun şirketle iletişime geçmesinin ardından BidMachine belgeleri, kesin konum verilerinin toplanabildiğini açıkça gösterecek şekilde güncellendi. Bununla birlikte EFF, incelenen uygulamaların kullanıcıya üçüncü taraf konum paylaşımı hakkında ayrı bir bildirim sunmadığını ve Google Play’deki veri güvenliği alanlarında bu aktarımı göstermediğini belirtti. QR Scanner’ın 50 milyondan, GPS Speedometer’ın ise 10 milyondan fazla indirilmiş olması, sorunun ulaşabileceği kullanıcı kitlesinin büyüklüğünü ortaya koyuyor. BidMachine ise konum bilgisinin ancak kullanıcının işletim sistemi üzerinden ilgili uygulamaya izin vermesi hâlinde alınabildiğini ve izin süreçlerinin yapılandırılmasından yayıncıların sorumlu olduğunu savunuyor.

Verve’nin HyBid SDK’sında konum kullanımının varsayılan olarak etkin olduğu ve uygulamanın izni varsa mevcut konum bilgisinin hedefli reklamlar için değerlendirildiği belirtiliyor. Şirket, EFF’ye gönderdiği açıklamada Android uygulamasının cihazın GPS verisini doğrudan kullanmadığını, ağ sağlayıcısından alınan önbelleğe kaydedilmiş konumu okuduğunu ve bilgiyi işlemeden önce daha geniş bir alana indirgediğini söyledi. EFF ise daha düşük hassasiyetli konum verilerinin bile zaman içinde sürekli toplandığında kullanıcıların hareketlerini açığa çıkarabileceğine dikkat çekti. Huawei’nin Petal Ads belgelerinde de uygulamanın konum erişimine sahip olması durumunda bu bilginin reklam isteklerine varsayılan olarak eklenebildiği görülüyor. Şirketin bazı geliştirici belgelerinde konum izni alınmasının uygulama gelirini artırabileceği vurgulanırken veri aktarımını devre dışı bırakmaya yarayan ayar daha farklı bir uyumluluk belgesinde gösteriliyor. EFF’ye göre kapatma seçeneğinin kolayca görülebilen entegrasyon sayfalarında bulunmaması, geliştiricilerin bu ayarı fark etmesini zorlaştırıyor. Huawei, SDK ve ilgili hizmetlerin kesin konum bilgisini saklamadığını ve veriyi yalnızca cihazın yaklaşık yerini belirlemek için kullandığını belirtiyor. Ancak araştırmada, şirket belgelerinin yaklaşık ve kesin konum arasındaki sınırı yeterince ayrıntılı şekilde tanımlamadığı ifade ediliyor.

Konum verileri reklam sistemleri üzerinden yayılabiliyor

Konum bilgisinin reklam SDK’sına aktarılması, verinin yalnızca tek bir reklam şirketinde kalacağı anlamına gelmiyor. Gerçek zamanlı teklif verme sistemlerinde reklam alanları çok sayıda şirketin katıldığı otomatik açık artırmalarla satılıyor. Bu süreç sırasında gönderilen reklam istekleri; cihaz bilgileri, reklam tanımlayıcıları ve bazı durumlarda konum koordinatları gibi ayrıntılar içerebiliyor. Veri aracıları da reklam gösterimi satın almak yerine, teklif isteklerinde yer alan kişisel bilgileri toplamak amacıyla bu açık artırmalara katılabiliyor. Böylece kullanıcıların hareketleri farklı kaynaklardan bir araya getirilerek ayrıntılı konum profilleri oluşturulabiliyor. EFF, reklam sektöründen elde edilen konum bilgilerinin geçmişte göçmenlik soruşturmalarında, küresel takip araçlarında, sendika çalışanlarının izlenmesinde ve askerî personelin hareketlerinin belirlenmesinde kullanıldığını hatırlatıyor. Kullanıcı konumu bu nedenle yalnızca kişiselleştirilmiş reklamlar için kullanılan sıradan bir veri olarak değerlendirilmiyor. Kuruluş, sürekli toplanan konum bilgilerinin kişilerin yaşadığı yeri, çalıştığı noktayı, günlük alışkanlıklarını ve hassas ziyaretlerini ortaya çıkarabilecek nitelikte olduğunu belirtiyor.

Araştırmada adı geçen dört SDK’nın sorunun tamamını temsil etmediği de özellikle vurgulanıyor. EFF’nin incelemesi, konum paylaşımını varsayılan olarak etkinleştiren ve bunu kamuya açık belgelerinde kabul eden örneklere odaklanıyor. Diğer reklam araçlarının kullanıcı konumunu yeterince koruduğu veya geliştiricilerin farklı SDK’lar üzerinden veri paylaşmadığı yönünde bir sonuca ulaşılmıyor. Önceki akademik çalışmalar da SDK belgeleri ile uygulamada gerçekleşen veri toplama faaliyetleri arasında farklılıklar bulunabildiğini ortaya koymuştu. Geliştiriciler bazen SDK’nın hangi bilgileri gönderdiği üzerinde sınırlı denetime sahip olurken, veri toplama şartlarını kabul etmek veya reklam aracını tamamen kullanmamak arasında seçim yapmak zorunda kalabiliyor. Bu nedenle uygulamaların Google Play’de sunduğu veri güvenliği bildirimleri, gerçek veri akışını her zaman eksiksiz biçimde yansıtmayabiliyor. Kullanıcının bir uygulamaya konum izni vermeden önce mağaza sayfasını incelemesi yararlı olsa da tek başına kesin bir koruma sağlamıyor. EFF, reklam şirketlerinin kişisel veri paylaşımını varsayılan seçenek olmaktan çıkarması, geliştiricilerin kullandıkları üçüncü taraf kodları dikkatle denetlemesi ve düzenleyici kurumların SDK sağlayıcılarını da incelemesi gerektiğini savunuyor.

Android’de konum paylaşımı nasıl sınırlandırılır?

Android kullanıcıları, cihazlarının ayarlar bölümünden uygulamaların konum erişimini tek tek kontrol edebiliyor. Bunun için Ayarlar uygulaması açıldıktan sonra “Konum” ve ardından “Uygulama konum izinleri” bölümlerine girilmesi gerekiyor. Menü adları telefonun üreticisine ve kullanılan Android sürümüne göre küçük farklılıklar gösterebiliyor. Açılan ekranda konuma her zaman erişebilen, yalnızca kullanım sırasında erişen ve erişimine izin verilmeyen uygulamalar ayrı gruplar hâlinde görüntüleniyor. Kullanıcılar gerekli görmedikleri uygulamaları seçerek konum erişimini “İzin verme” seçeneğiyle tamamen kapatabiliyor. Konuma ihtiyaç duyan uygulamalarda ise destekleniyorsa kesin konum yerine yaklaşık konum seçeneği kullanılabiliyor. Ayrıca uygulama yalnızca açıkken çalışacak şekilde “Yalnızca uygulamayı kullanırken izin ver” seçeneğinin tercih edilmesi, arka plandaki konum erişimini sınırlandırabiliyor. Google’ın Android yardım sayfasında bu izinlerin uygulama bazında nasıl değiştirilebileceği ayrıntılı biçimde açıklanıyor.

Konum erişimini tüm uygulamalar için aynı anda durdurmak isteyen kullanıcılar, Ayarlar içindeki “Konum” bölümünden “Konumu kullan” seçeneğini kapatabiliyor. Bu işlem telefonun konum hizmetlerini genel olarak devre dışı bıraktığı için harita, navigasyon, hava durumu ve yakındaki cihazları bulma gibi özelliklerin çalışmasını da etkileyebiliyor. Bu nedenle tüm sistemi kapatmak yerine uygulama izinlerini tek tek incelemek, günlük kullanım açısından daha dengeli bir seçenek sunuyor. Özellikle temel işlevi konumla ilgili olmayan ancak yine de bu izni isteyen uygulamaların dikkatle değerlendirilmesi gerekiyor. Uzun süredir kullanılmayan uygulamaların izinleri kaldırılabilir veya ihtiyaç duyulmayan uygulamalar cihazdan tamamen silinebilir. Kullanıcıların izinleri yalnızca uygulamayı ilk kurduklarında değil, belirli aralıklarla yeniden kontrol etmeleri de önem taşıyor. Bununla birlikte uygulama izninin kapatılması, IP adresi üzerinden yaklaşık bölgenin tahmin edilmesini bütünüyle engellemeyebilir. Yine de kesin konum erişiminin sınırlandırılması, reklam SDK’larının ayrıntılı koordinatlara ulaşma ihtimalini önemli ölçüde azaltabilir.