- Electronic Frontier Foundation'ın yeni raporu, bazı Android uygulamalarının kullanıcı konumunu farkında olmadan reklamcılarla ve veri simsarlarıyla paylaştığını ortaya koydu.
- Sorunun kaynağı, uygulamalara gömülü olan ve konum toplamayı varsayılan olarak açık tutan üçüncü taraf reklam yazılım kitleri (SDK).
- EFF, geliştiricileri uygulamalarındaki tüm SDK'ları denetlemeye ve gereksiz veri toplamayı kapatmaya çağırıyor.
Dijital haklar örgütü Electronic Frontier Foundation (EFF), Android uygulama ekosisteminde önemli bir gizlilik sorununa dikkat çekti. Örgütün yayınladığı yeni rapora göre bazı uygulamalar, kullanıcıların hassas konum verilerini reklamcılar ve veri simsarları dahil üçüncü taraflarla farkında olmadan paylaşıyor.
İşin dikkat çekici yanı, çoğu durumda uygulama geliştiricisinin bile bu paylaşımdan haberdar olmaması. Sorun uygulamaların temel işlevlerinden değil, içlerine gömülü olan üçüncü taraf yazılım kitlerinden, yani SDK’lardan kaynaklanıyor.
Sorun nasıl ortaya çıkıyor?
Birçok uygulamanın konum bilgisine ihtiyaç duyması aslında normal bir durum. Bir hava durumu uygulamasının bulunduğunuz yerin tahminini vermesi ya da bir fitness uygulamasının koşu rotanızı takip etmesi için konuma erişmesi gerekir.
Ancak geliştiriciler, gelir elde etmek amacıyla uygulamalarına genellikle reklam SDK’ları ekliyor. EFF’nin uyarısına göre, geliştirici bu özelliği aktif olarak kapatmadıkça söz konusu SDK’lar uygulamanın izinlerini devralıyor ve kullanıcının hassas konum verisini topluyor. Android ekosisteminde SDK’lara özel ayrı bir konum izni bulunmuyor. Yani bir uygulamaya konum izni verdiğinizde, bu veri otomatik olarak uygulamadaki tüm üçüncü taraf reklamcılara da açılmış oluyor.
Dört SDK öne çıkıyor
EFF araştırmacıları ise onlarca popüler reklam SDK’sının geliştirici belgelerini inceledi ve dördünü özellikle işaretledi: InMobi, BidMachine, Verve (HyBid) ve Huawei’nin Petal Ads hizmeti. Bu dört SDK, konum toplamayı varsayılan olarak açık tutarken devre dışı bırakma talimatlarını bulmayı kasıtlı olarak zorlaştırıyor.
Rapora göre bu SDK’lar birlikte binlerce uygulamaya gömülü durumda ve dünya genelinde milyarlarca kullanıcıya ulaşıyor. Örneğin EFF’nin incelediği ve kullanıcı konumunu gizlice paylaşan iki Android uygulaması, toplamda 60 milyondan fazla indirilmiş görünüyor.
Sorunun ne kadar somut olduğunu gösteren bir örnek de geçmişten geliyor. 2025 yılında konum veri simsarı Gravy Analytics’in hacklenmesi, verilerinin kaynağı olabilecek binlerce uygulamayı ortaya çıkarmıştı. Gazeteciler bu uygulamaların geliştiricilerine ulaştığında, birçoğu Gravy Analytics ile herhangi bir ilişkileri olmadığını ve durumdan haberdar olmadıklarını söylemişti.
EFF ne öneriyor?
EFF, bir uygulamaya konum izni vermenin, o verinin dış reklam şirketleriyle paylaşılmasına rıza göstermekle aynı şey olmadığını vurguluyor. EFF’ye göre sorumluluk yalnızca geliştiricilerde değil, bu varsayılan ayarları belirleyen SDK sağlayıcılarında.
EFF geliştiricileri, uygulamalarındaki her üçüncü taraf SDK’yı denetlemeye ve gereksiz veri toplamayı kapatmaya çağırıyor. Ayrıca düzenleyicilerin kitlesel veri paylaşımını teşvik eden SDK sağlayıcılarını incelemesini ve yasa koyucuların gerçek yaptırım gücü olan daha güçlü konum gizliliği yasaları çıkarmasını talep ediyor.
Bu tür sızıntı risklerini en aza indirmek için; uygulamalara verdiğiniz konum izinlerini düzenli olarak gözden geçirmeniz ve yalnızca gerçekten ihtiyaç duyan uygulamalara, mümkünse tek seferlik veya yaklaşık konum erişimi vermeniz öneriliyor.
