Le Monde tarafından yapılan yakın tarihli bir araştırma(yeni pencere), akıllı telefonlardaki reklamlarla bağlantılı verilerin; Fransız polisi, ordusu ve istihbarat personelinin (seçkin birimlerin üyeleri dahil) kimliklerini ve günlük hareketlerini nasıl ifşa edebileceğini gösteriyor.
Daha da önemlisi bu, bilgisayar korsanlığının veya bir hatanın sonucu değildi. Bu son derece hassas bilgiler, halka açık ve geniş çapta ticareti yapılan tüketici veri kümelerinden toplandı. Gömülü reklam izleme teknolojisine sahip sıradan uygulamalar, konumlarını topladı ve veri simsarlarına sattı.
Bu soruşturmanın ortaya çıkardığı bariz ulusal güvenlik endişelerine ek olarak, günlük yaşamlarımız hakkındaki ne kadar çok mahrem verinin, hiçbir gizlilik koruması ve denetimi olmayan bir tüketici reklam ekosistemi aracılığıyla reklamverenlere kolayca sunulduğunu gösteriyor.
Uygulamalarınız nereye gittiğinizi sessizce paylaşıyor
Bu “hack”, aygıtlarınızın her zaman gönderdiği pasif verilerden yararlanır. Sistem şöyle çalışır:
Çoğu ücretsiz uygulama, reklam ağları tarafından sağlanan ve her uygulama açtığınızda veya bir reklam yüklediğinizde veri toplayan reklam yazılımı geliştirme kitleri (SDK’ler) olarak bilinen küçük kod parçalarından para kazanır. Bu veriler şunları içerebilir:
- Telefonunuzun reklam kimliği (benzersiz bir izleyici)
- IP adresiniz(yeni pencere)
- Konum bilgisi (bunu aşağıda tartışacağız)
- Hangi uygulamayı kullandığınız
- Ne zaman kullandığınız
Uygulamalar bu verileri arka planda (siz hiçbir şey yapmıyorken bile) sürekli olarak paylaşır ve genellikle uygulama geliştiricinin değil SDK’nin sunucularına gönderir. Buradan, binlerce uygulamadan gelen bilgileri konumunuzun ayrıntılı bir geçmişiyle birleştiren veri simsarlarına satılır.
Bu veriler anonim değildir
IP adresiniz telefonunuzu benzersiz bir şekilde tanımlar ve konumunuzu kabaca, yaklaşık bir şehir mesafesi dahilinde tahmin etmek için kullanılabilir. Ancak IP adresiniz yaygın olarak bilinen bir gizlilik tehlikesidir ve bir VPN kullanılarak kolayca gizlenebilir(yeni pencere). Sizi “anonim olarak” izlediğini iddia eden teknolojiler daha sinsidir.
Konum bilgisi
Hem Android hem de iOS, uygulamaların konumunuza erişmesini (bu esasen GPS verilerinize doğrudan erişim anlamına gelir) engellemenizi sağlayan ayrıntılı gizlilik kontrolleri içerir. Ancak uygulamalar, telefonunuzdaki erişebildikleri diğer veri noktalarından gelen verileri kullanarak konumunuzu şaşırtıcı bir doğrulukla çıkarabilir:
- Yakındaki Wi-Fi ağları (küresel veritabanlarında haritalanmıştır)
- Bluetooth işaretçileri (genellikle mağazalarda, etkinliklerde ve toplu taşıma sistemlerinde bulunur)
- Sensörler (hareket modelleri ve baz istasyonu geçişleri dahil)
Reklam Kimliği
Telefonunuzun reklam kimliği (Android’de AAID, iOS’ta IDFA), uygulamalar arası izlemeye izin vermek için özel olarak oluşturulmuş kalıcı ve benzersiz bir aygıt tanımlayıcısıdır. Teoride adınıza bağlı değildir, ancak reklam SDK’si konum verilerinize erişebildiği için:
- Nerede uyuduğunuzu bilir
- Nerede çalıştığınızı bilir
- Gittiğiniz spor salonunu, barı, mağazaları ve ziyaret ettiğiniz arkadaşlarınızı izleyebilir ve bunu erişimi olan diğer bilgilerle (sosyal medyadaki varlığınız gibi) birleştirerek günlük rutinlerinizden kimliğinizi çıkarabilir.
Buna hareketlilik modeli deanonymization (kimliksizleştirmenin geri alınması)(yeni pencere) denir ve sizi benzersiz bir şekilde tanımlama yeteneği araştırmalarda(yeni pencere) defalarca kanıtlanmıştır. Nitekim Le Monde’un yaptığı da tam olarak budur.
Veri simsarları bu verileri toplu olarak satın alır
Reklam SDK’si satıcıları ve reklam teknolojisi şirketleri bu telemetriyi, aşağıdakileri yapan veri simsarlarına satar veya onlarla paylaşır:
- Milyonlarca uygulamadan toplayanlar
- Aygıt düzeyinde hareket geçmişleri oluşturanlar
- Veri kümelerini reklamverenlere, koruma fonlarına, siyasi kampanyalara ve ödeme yapmaya istekli diğer herkese yeniden satanlar
Bu veri kümeleri, Reklam Kimliklerine bağlı milyarlarca hassas konum ping’ini içerebilir.
Le Monde soruşturması
Le Monde gazetecileri bu halka açık veri kümelerini veri simsarlarından satın aldılar ve bunları gecelerini bir adreste (muhtemelen kullanıcının evi) geçiren ve gün içinde düzenli olarak bir konumu (muhtemelen kullanıcının iş yeri) ziyaret eden aygıtları aramak için kullandılar. Bu iş yerleri DGSE genel merkezi (CIA’in Fransız eşdeğeri), bir askeri üs veya bir nükleer tesis gibi bilinen hassas tesislerse, sahibinin bir devlet kuruluşundaki rolünü çıkarmak kolaydı.
Daha sonra, bireylerin kimliklerini belirlemek için hareket modellerini sosyal medya etkinlikleri, LinkedIn profilleri ve mülk kayıtları gibi halka açık bilgilerle çapraz referanslayabildiler. Le Monde bu tekniği kullanarak şunların mahrem günlük hareketlerinin kimliğini açığa çıkardı ve izledi:
- Fransız servislerinden istihbarat memurları
- Seçkin polis birimleri ve koruma hizmetleri
- GIGN gibi müdahale güçlerinin üyeleri
- Önemli üslerde (nükleer caydırıcılık tesisleri dahil) görevli askeri personel
- Savunma sanayisi yöneticileri
- Cezaevi personeli
- Nükleer santral çalışanları
Le Monde’un soruşturması, Institute for United Conflict Analysts tarafından hazırlanan ve askerlerin Strava fitness takip şirketine yükledikleri halka açık egzersiz verilerini kullanarak dünya genelindeki ABD askeri üslerinin ve casus karakollarının konumunu ve personel sayısını tam olarak belirleyebilen(yeni pencere) 2017 tarihli raporla büyük benzerlik gösteriyor.
Bu neden önemli?
Bu halka açık verilerin nasıl kötüye kullanılabileceğinin ulusal güvenlik üzerindeki etkileri açıktır. Ancak bu aynı zamanda günlük dijital yaşamlarımızın ne kadarının sessizce izlendiğini ve paraya dönüştürüldüğünü de göstermektedir. Reklam izleme verileri şunları açığa çıkarabilir:
- Nerede yaşadığınız
- Nerede çalıştığınız
- Rutinleriniz ve alışkanlıklarınız
- İlişkileriniz
- Siyasi veya dini bağlantılarınız
- Doktor randevularınız
- Gittiğiniz her yer (saati saatine ve birkaç metrelik hassasiyetle)
Böylesine yaygın reklam odaklı gözetim ve veri paylaşımı ile hassas bilgilerin eninde sonunda bunları kötüye kullanmak isteyen kişilerin eline geçmesi kaçınılmaz hale gelir. Örneğin, suçlular bunu sosyal mühendislik saldırılarını daha inandırıcı hale getirmek için kullanabilir veya ısrarlı takipçiler sizi bulmak(yeni pencere) için kullanabilir. Gözetim tabanlı reklamcılık; kimliğiniz, mali durumunuz ve fiziksel güvenliğiniz için doğrudan bir tehdit oluşturur.
Bu konuda ne yapabilirsiniz?
Her türlü izlemeyi durdurmanın bir yolu yoktur ancak toplanan veri kümelerinin ayrıntı düzeyini azaltmak için aşağıdaki işlemleri yapabilirsiniz:
- Kullanmadığınız zamanlarda konum servislerini kapatın(yeni pencere) ve uygulamaların konum izinlerini reddedin.
- Gerçek IP adresinizi gizlemek için bir VPN(yeni pencere) kullanın. Proton VPN’in NetShield Ad-blocker(yeni pencere) gibi DNS filtreleme özellikleri de reklam ve izleyici betiklerini engellemeye yardımcı olabilir.
- Android’de reklam kimliğinizi silin (Ayarlar → Google → Tüm hizmetler → Reklamlar → Gizlilik ve güvenlik → Reklamlar → Reklam kimliğini sil). iPhone’lar bu seçeneği sunmaz.
Eğer seçkin güvenlik birimleri ifşa edilebiliyorsa, herkes edilebilir
Le Monde’un soruşturması, yaygın ve düzenlenmemiş reklamcılığın tehlikelerinin sadece teorik bir endişe olmadığını gösteriyor. Soruşturmada kimliği belirlenen kişiler dikkatsizce bir şey yapmamışlardı: Sadece normal uygulamalara sahip normal akıllı telefonlar kullanıyorlardı. Hepimiz gibi.
Sorun yapısal. Reklam şirketleri çok fazla veri topluyor, uygulama geliştiricileri tam olarak anlamadıkları izleme araçlarını gömüyor veya kullanıcılarının güvenliği yerine kârı önceliklendiriyor, veri simsarları konum veri kümelerini hemen hemen herkese satıyor ve düzenleyiciler büyük ölçüde etkisiz kalıyor.
Bütün bir sektör sürekli konum gözetimi üzerine kurulduğunda, yüksek eğitimli profesyoneller bile izlenmekten kaçınamaz. Siz de kaçınamazsınız.
