Policie tě může beztrestně šmírovat přes mobil. Aplikace o počasí jim prodává data

Možná si myslíte, že když vypnete sdílení polohy, jste v bezpečí. Jenže mobilní aplikace vás sledují i tak. Stačí, že si stáhnete oblíbenou hru nebo aplikaci na počasí – a vaše telefon začne tiše odesílat data o každém místě, kde se pohybujete.

Investigace agentury Bloomberg odhalila fungování systému Webloc, který dokáže rekonstruovat pohyb konkrétního telefonu až dvanáct měsíců zpětně. Nástroj americké společnosti Penlink propojuje reklamní identifikátory s GPS souřadnicemi, signály Wi-Fi sítí a mobilních vysílačů. Výsledek? Přesná mapa vašeho života – kde pracujete, kde bydlíte, kam chodíte na oběd.

Reklamní moduly jako špionážní síť

Za vším stojí nevinně vypadající softwarové moduly pro reklamu, které vývojáři nasazují do aplikací, aby na nich vydělali. Platforma Start.io se chlubí dosahem na 2,4 miliardy uživatelů a schopností vytvořit „360° pohled na spotřebitele“ zahrnující polohu, používané aplikace i síťová data.

Její reklamní modul najdete v půl milionu aplikací s celkem 25 miliardami stažení. Nezávislá platforma Exodus, která monitoruje sledovací technologie, identifikovala napojení na Start.io u 4 400 her a aplikací pro Android i iOS.

Databáze se aktualizuje každou hodinu. Vyšetřovatelé tak mohou sledovat pohyb lidí téměř v reálném čase. Podle interních prezentací a výpovědí současných i bývalých zaměstnanců stačí na mapě světa označit libovolné místo a systém okamžitě zobrazí všechny telefony, které se v daném čase na daném místě vyskytovaly, díky analýzám miliard lokalizačních bodů.

Technologie využívá princip takzvaného geofencingu – virtuálního plotu na mapě. Bezpečnostní složky zakreslí okruh kolem místa činu, demonstrace nebo podezřelé budovy a systém automaticky vyfiltruje všechna zařízení, která se tam pohybovala.

Vývojáři netuší, kam jejich data putují

Bloomberg zjistil, že Webloc v minulosti čerpal informace i z celosvětově populárních aplikací – předpovědi počasí AccuWeather, modlitební aplikace Muslim Pro nebo mobilní hry Multi Maze 3D. Každý z oslovených vývojářů však přímou spolupráci s Penlinkem odmítl.

Vývojáři aplikací často vůbec sami netuší, že data z jejich monetizačních nástrojů nakonec mohou končit u sledovacích a policejních složek, uvádí zpráva. Když si uživatelé podobnou aplikaci nainstalují, v nepřehledných licenčních podmínkách sice bývá uvedeno, že vývojář může sdílet údaje o poloze se třetími stranami – tyto formulace však čte málokdo a koncoví odběratelé dat v nich zcela chybí.

Systém původně vyvinul izraelský startup Cobwebs Technologies, jehož zakladateli byli bývalí příslušníci izraelských bezpečnostních a zpravodajských složek. V roce 2023 technologii koupila americká firma Penlink.

Policie nakupuje data jako na e-shopu. I v Evropě

Licence na systém Webloc začíná na částce 100 tisíc dolarů ročně (v přepočtu zhruba 2,3 milionu korun) a roste v závislosti na počtu uživatelů a objemu požadovaných údajů. Je to, jako byste si sledovací data nakoupili na e-shopu.

V USA jsou podobné nástroje zcela běžně využívány federálními agenturami i armádními složkami ke sledování pohybu osob bez soudního povolení. Podle rozhodnutí tamního Nejvyššího soudu z roku 2018 sice úřady potřebují k získání polohových dat od telekomunikačních společností soudní příkaz, tamní ministerstvo spravedlnosti však argumentuje tím, že se toto omezení nevztahuje na komerční nákupy dat.

Tato data přitom nevyužívají jen v zámoří. Bezpečnostní složky je nakupují i v Evropě – konkrétně například v Německu, Rakousku, Maďarsku, Velké Británii či Nizozemsku. Využití sahá od pátrání po pohřešovaných dětech až po monitorování politických demonstrací, motorkářských gangů nebo podezřelých ze špionáže.

Z interních materiálů navíc vyplynulo, že firma Penlink po akvizici plánovala nabízet upravenou technologii pod názvem Safeloc také soukromému sektoru – například bankám pro hodnocení úvěrových rizik klientů.

Apple i Google v posledních letech zpřísňují pravidla pro sdílení reklamního ID a polohy na pozadí. Funkce App Tracking Transparency u iOS nebo podobná omezení u Androidu komerční sběr těchto dat ztěžují – jenže šedá zóna stále existuje.

Podle analytiků technologický vývoj nebezpečně předbíhá legislativu a v šedé zóně vzniká rozsáhlý systém sledování, na němž se ruku v ruce podílí soukromý byznys i státní sektor. Otázka zní: Kolik vašich kroků už je v databázi?