《世界报》最近的一项调查（新窗口）显示，与智能手机广告关联的数据如何暴露包括精锐部队成员在内的法国警察、军人和情报人员的身份和日常行踪。
关键是，这并非黑客攻击或失误所致。这些高度敏感的信息来自公开可得且被广泛交易的消费者数据集。嵌入广告跟踪技术的普通应用收集了他们的位置，并将其出售给数据经纪商。
除了这项调查引发的明显国家安全担忧之外，它还显示，我们的日常生活中有多少私密数据可以被广告商轻而易举地获取——这个消费级广告生态系统既没有隐私保护，也没有任何监督。
应用正在悄悄分享您的行踪
这种“黑客攻击”利用了您的设备不断发送的被动数据。其工作原理如下：
大多数免费广告的盈利来自广告网络提供的小段代码，这些代码被称为广告软件开发工具包 (SDK)，会在您每次打开应用或加载广告时收集数据。这些数据可能包括：
- 您手机的广告 ID（一个唯一的跟踪器）
- 您的IP 地址（新窗口）
- 位置信息（下文将讨论）
- 您正在使用哪款应用
- 您何时使用
应用会在后台不断分享这些数据（即使您什么都没做），通常将其发送到 SDK 的服务器，而非应用开发者的服务器。随后，这些数据被转售给数据经纪商，它们会将来自数千款应用的信息整合成您的详细位置历史记录。
这些数据并非匿名
您的 IP 地址可以唯一标识您的手机，并可用于粗略估计您的位置，精确度大约在一个城市的范围内。然而，IP 地址是众所周知的隐私威胁，可以使用 VPN 轻松隐藏（新窗口）。更阴险的是那些声称能够“匿名”跟踪您的技术。
位置信息
Android 和 iOS 都提供精细的隐私控制，允许您拒绝应用访问您的位置（这主要指直接访问您的 GPS 数据）。然而，应用可以利用手机上它们能够访问的其他数据点来推断您的位置，其精确度令人惊讶：
- 附近的 WiFi 网络（已收录在全球数据库中）
- 蓝牙信标（通常位于商店、活动和公共交通系统中）
- 传感器（包括运动模式和基站切换）
广告 ID
您手机的广告 ID（Android 上为 AAID，iOS 上为 IDFA）是一个持久且唯一的设备标识符，专门用于实现跨应用跟踪。理论上，它并不与您的姓名关联，但由于广告 SDK 可以访问您的位置数据：
- 它知道您在哪里睡觉
- 它知道您在哪里工作
- 它可以跟踪您去过的健身房、酒吧、商店和拜访的朋友，并将其与其他可访问的信息（例如您的社交媒体动态）相结合，从您的日常规律中推断出您的身份。
这被称为移动模式去匿名化（新窗口），其唯一识别个人身份的能力已在研究（新窗口）中被反复证明。《世界报》所做的正是这一点。
数据经纪商批量购买这些数据
广告 SDK 供应商和广告技术公司会将这些遥测数据出售或分享给数据经纪商，后者会：
- 从数百万款应用中聚合这些数据
- 构建设备级的移动历史记录
- 将数据集转售给广告商、对冲基金、政治竞选活动以及任何愿意付费的人，包括FBI
这些数据集可能包含数十亿条与广告 ID 绑定的精确位置信号。
《世界报》调查
《世界报》的记者只是从数据经纪商处购买了这些公开可得的数据集，然后用它们来查找夜间停留在同一地址（很可能是用户家）且白天定期到访某一位置（很可能是用户工作地点）的设备。如果这些工作地点是已知的敏感设施，例如 DGSE 总部（法国情报机构，相当于美国的 CIA）、军事基地或核设施，就很容易推断出设备所有者在政府组织中的角色。
然后，他们将设备的移动模式与社交媒体活动、LinkedIn 个人资料和房产记录等公开信息进行交叉比对，以确定这些人的身份。利用这种技术，《世界报》对以下人员的私密日常行踪进行了去匿名化和跟踪：
- 法国情报机构的情报官员
- 精锐警察部队和要员保护部门
- GIGN 等特勤部队的成员
- 驻扎在关键基地（包括核威慑设施）的军事人员
- 国防行业高管
- 监狱工作人员
- 核电站员工
《世界报》的调查与联合冲突分析研究所 2017 年的一份报告高度呼应，该报告利用士兵上传到 Strava 健身跟踪公司的公开运动数据，精确定位了美国军事基地和间谍哨站在世界各地的位置及人员配置（新窗口）。
重要性说明
这些公开数据被滥用的方式对国家安全的影响显而易见。然而，它也显示了我们日常数字生活的多少内容正在被悄悄监视和变现。广告跟踪数据可以揭示：
- 您住在哪里
- 您在哪里工作
- 您的日常安排和习惯
- 您的人际关系
- 您的政治或宗教信仰
- 您的就诊预约
- 您去过的每个地方（逐小时记录，精确到几米）
在如此无孔不入的广告驱动监控和数据分享之下，敏感信息最终落入想滥用它的人手中将不可避免。例如，犯罪分子可以利用它使社会工程学攻击更具可信度，跟踪者也可以利用它来追踪到您（新窗口）。基于监控的广告对您的身份、财务和人身安全构成直接威胁。
您能做些什么？
虽然无法阻止所有类型的跟踪，但您可以采取以下措施来降低所收集数据集的精细程度：
- 在不使用时关闭位置服务（新窗口），并拒绝应用的位置权限。
- 使用 VPN（新窗口） 隐藏您的真实 IP 地址。像 Proton VPN 的 NetShield Ad-blocker（新窗口） 这样的 DNS 过滤功能也有助于拦截广告和跟踪器脚本。
- 在 Android 上删除您的广告 ID（设置 → Google → 所有服务 → 广告 → 隐私和安全 → 广告 → 删除广告 ID）。iPhone 不提供此选项。
如果精锐安全部队都可能被暴露，那么任何人都可能
《世界报》的调查显示，无孔不入且缺乏监管的广告所带来的危险绝不仅仅是理论上的担忧。调查中被识别出的这些人没有做任何疏忽大意的事：他们只是像我们所有人一样，使用着普通的智能手机和普通的应用。
这个问题是结构性的。广告公司收集的数据过多，应用开发者嵌入了自己并未完全理解的跟踪工具，或者干脆将利润置于对用户安全的关注之上，数据经纪商向几乎任何愿意购买的人出售位置数据集，而监管机构在很大程度上收效甚微。
当整个行业都建立在对位置的持续监控之上时，即使是训练有素的专业人员也无法避免被跟踪。您也不例外。
