Аналитики Фонда электронных рубежей (Electronic Frontier Foundation, EFF) выяснили, что некоторые рекламные SDK для Android автоматически получают и передают третьим сторонам точную геолокацию пользователей, если приложение получило соответствующее разрешение. Разработчики могут даже не подозревать об этом, так как отдельных разрешений для встроенных библиотек в Android нет. По словам исследователей, основная проблема связана с моделью разрешений в мобильной ОС. После того как пользователь предоставляет приложению доступ к своему местоположению, те же права получают все встроенные в него SDK. В результате рекламная библиотека может передавать координаты пользователя рекламной системе, даже если доступ к геолокации был нужен только для основной функциональности приложения (например, отображения прогноза погоды или записи маршрутов пробежек). Специалисты EFF изучили документацию десятков рекламных SDK, а также проанализировали трафик приложений. В итоге исследователи выделили четыре библиотеки, которые используют геолокацию по умолчанию: InMobi, BidMachine, HyBid компании Verve и Huawei Petal Ads. Сбор данных о местоположении в них начинается автоматически, если пользователь выдал разрешение приложению. При этом некоторые разработчики SDK рекомендуют не отключать передачу координат. К примеру, в документации InMobi говорится, что рекламные показы с геолокационными данными обычно приносят больше денег. В свою очередь в руководстве Huawei разработчикам прямо предлагают запрашивать доступ к данным о местоположении ради увеличения дохода, и инструкция по отключению сбора геоданных находится в другом разделе документации. Наиболее наглядным примером эксперты называют приложения QR Scanner и GPS Speedometer, которые суммарно установили более 60 млн раз. Анализ их трафика показал, что оба приложения передавали точные координаты пользователей домену BidMachine. При этом приложения не отображали отдельного уведомления и не запрашивали у пользователей согласие на передачу геолокации рекламной компании. В разделе «Безопасность данных» в Google Play также не было указано, что информация о местоположении передается третьим сторонам. Отчет EFF гласит, что ранее в документации BidMachine и вовсе утверждалось, что SDK не собирает точную геолокацию пользователей. Только после вопросов исследователей документацию исправили, и представители компании признали, что библиотека собирает такие данные при наличии системного разрешения. При этом способ отключения сбора данных о местоположении в руководстве по-прежнему не описан. Эксперты объясняют, что переданные BidMachine данные попадают в рекламную экосистему и RTB-аукционы, где информацию из запросов могут собирать брокеры данных. В итоге историю перемещений пользователей продают рекламодателям, государственным структурам, военным и разведслужбам. Кроме того, такие массивы данных становятся ценной целью для хакеров. Например, после взлома брокера Gravy Analytics в 2025 году стало известно о тысячах приложений, которые могли служить для компании источниками данных, хотя многие разработчики отрицали какую-либо связь с Gravy Analytics. В EFF подчеркивают, что разрешения на уровне приложения нельзя считать осознанным согласием на передачу данных геолокации сторонним рекламным SDK. Разработчикам рекомендуют внимательно проверять настройки всех подключенных библиотек и отключать сбор информации. По мнению представителей фонда, передача настолько чувствительной информации третьим сторонам вообще не должна быть настройкой по умолчанию.