Applicazioni Android che spiano i vostri dispositivi

Abbiamo già parlato dei meccanismi di pubblicità su Internet e dei trucchi che utilizzano le reti pubblicitarie per conoscere i siti web che visitate. Ma la vostra vita online va ben oltre questi siti. È molto probabile che trascorriate una buona parte del vostro tempo sulle app mobile e anche loro guadagnano grazie alla pubblicità; proprio come i siti, anche le app collaborano con le reti pubblicitarie.

Per permettere agli inserzionisti di ottenere un dossier dettagliato su di voi in modo da offrirvi annunci personalizzati, le applicazioni forniscono loro informazioni sul vostro dispositivo, persino le informazioni che Google impedisce loro di usare.

Quali informazioni possono favorire il tracking del vostro dispositivo Android?

Cosa dicono di voi le applicazioni alle reti pubblicitarie? Prima di tutto, che sono installate sul vostro dispositivo. Quando la rete pubblicitaria riceve questa informazione da parte di varie applicazioni, è capace di scoprire i vostri interessi e quindi quali sono i tipi di annunci che più vi attirano. Ad esempio, se vi fate molti selfie e avete Instagram e Snapchat installati sul telefono, potreste apprezzare app di filtri ed effetti per le foto.

Le reti pubblicitarie usano sistemi di identificazione del dispositivo per riconoscere in modo preciso il dispositivo su cui stanno funzionando le app. Ogni smartphone o tablet Android dispone di vari identificatori e la maggior parte di essi non sono stati creati per aiutare gli inserzionisti.

Ad esempio, i codici IMEI unici aiutano a identificare i telefoni sulla rete cellulare o per bloccare i dispositivi in caso di furto. Un numero di serie può aiutare a trovare tutti i dispositivi dello stesso lotto che presentano dei difetti, per ritirarli dal mercato. Un indirizzo MAC, altro identificatore unico, consente la connessione in rete e in particolare può essere utile per limitare l’elenco dei dispositivi autorizzati a collegarsi alla vostra rete Wi-Fi di casa. Infine, gli sviluppatori di applicazioni mobili utilizzano gli ID Android (alias SSAID) per gestire le licenze dei loro prodotti.

Per molto tempo non è esistito nessun tipo di identificatore pubblicitario, quindi le applicazioni erano solite condividere questi identificatori con i loro partner. In questo modo gli utenti non avevano modo di sfuggire agli annunci personalizzati: IMEI o MAC sono codici univoci che consentono l’identificazione diretta di qualsiasi dispositivo. Ogni volta che una rete pubblicitaria ne riceve uno, la rete capisce che l’applicazione è stata installata sul vostro telefono.

In teoria, questi codici sono modificabili (esistono applicazioni anche per questo) ma non è così facile e, ancor peggio, è un’operazione che può essere rischiosa per il vostro telefono. Per esperimenti di questo tipo è necessario permessi di root e l’operazione di rooting rende il dispositivo vulnerabile. Inoltre, manipolazioni come la modifica dell’IMEI sono illegali in alcuni paesi.

È più facile cambiare l’ID Android: bisogna solo riportare il telefono o il tablet alle impostazioni di fabbrica. Ma una volta fatto questo, dovrete impostare tutto di nuovo, reinstallare tutte le vostre applicazioni ed effettuare di nuovo l’accesso a ciascuna di esse. In breve, è una scocciatura, per quello non si fa così spesso.

ID pubblicità: la teoria

Nel 2013, Google ha presentato un ID pubblicità per raggiungere un compromesso tra gli utenti Android e l’industria pubblicitaria. I servizi Google Play assegnano l’ID e gli utenti possono ripristinarlo e crearne uno nuovo se necessario, andando su Impostazioni → Google → Annunci → Reimposta ID pubblicità. Da un lato, l’identificatore consente alle reti pubblicitarie di tracciare le abitudini e gli hobby degli utenti del dispositivo. D’altra parte, se non vi piace l’idea di essere spiati dagli inserzionisti, potete facilmente resettare l’ID in qualsiasi momento.

Le regole dello store Google Play stabiliscono che gli inserzionisti possono utilizzare per scopi pubblicitari solo l’ID pubblicità e nient’altro. La piattaforma non vieta di collegare questo ID ad altri identificatori, ma le applicazioni di Google Play hanno bisogno del consenso degli utenti.

L’idea è che, se non vi danno fastidio gli annunci personalizzati, potete lasciare l’ID pubblicità così com’è e potrete anche decidere di autorizzare le applicazioni a collegarlo a qualsiasi altro sistema. Al contrario, invece, potete proibire il collegamento di questo ID ad altri identificatori e reimpostare l’ID di tanto in tanto, scollegando così il vostro dispositivo dal dossier precedentemente raccolto. Purtroppo, la realtà è un’altra.

ID pubblicità: la realtà

Secondo il ricercatore Serge Egelman, oltre il 70% delle applicazioni di Google Play utilizza almeno un identificatore extra senza notificarlo. Alcune di esse,come 3D Bowling, Clean Master e CamScanner sono state scaricate da milioni di persone.

La maggior parte di esse utilizzano l’ID Android, ma anche gli IMEI, gli indirizzi MAC e i numeri di serie sono utili. Alcune applicazioni inviano alle reti partner tre o più identificatori contemporaneamente. Ad esempio, il gioco 3D Bowling utilizza l’ID pubblicitario, il codice IMEI e l’IDAndroid.

Tali pratiche rendono inutile l’idea stessa di ID pubblicità. Anche se cercate di impedire di essere spiati e continuate a reimpostare il vostro ID pubblicità, la rete pubblicitaria utilizzerà altri identificatori più persistenti per creare un altro ID per il vostro profilo.

Un’app Android dannosa è stata scaricata più di 100 milioni di volte da Google Play

Anche se tale comportamento va contro le regole di Google Play, non è facile rintracciare le applicazioni che approfittano degli ID. Google controlla tutte le applicazioni prima della release, ma molti autori non proprio onesti hanno trovato metodi alternativi e creano applicazioni dannose. Anche i miner trovano modi per intrufolarsi nello store, quindi non c’è da stupirsi se le app che sembrano non avere caratteristiche dannose a volte passano inosservate.

Google non può negare l’accesso agli identificatori dei dispositivi a tali applicazioni, dato che servono a molto di più rispetto alla sola pubblicità. Ad esempio, negando alle app mobile l’accesso all’ID Android, Google impedirebbe agli sviluppatori di app di proteggere i loro prodotti dalla pirateria, violando così i loro diritti.

Combattere gli annunci fastidiosi

Naturalmente, Google ha introdotto misure per limitare l’uso improprio degli ID. Così, a partire da Android Oreo, ogni applicazione avrà il proprio ID Android. Così, per le reti pubblicitarie che si basano su questo ID invece dell’ID pubblicitario, il vostro Instagram sembrerà installato su un dispositivo e il vostro Snapchat su un altro, rendendo così questi dati inutili per un targeting accurato.

Tuttavia, gli IMEI, i numeri di serie e gli indirizzi MAC non possono ricevere questo tipo di protezione, e il mercato è pieno di smartphone e tablet che utilizzano versioni precedenti di Android e non verranno mai aggiornati ad Android Oreo. Consigliamo quindi di limitare la raccolta dei dati attraverso la gestione delle applicazioni.

• Eliminate le applicazioni che non utilizzate più. Meno applicazioni installate, meno dati vengono raccolti dalle reti pubblicitarie;
• Non concedete permessi inutili alle applicazioni che desiderate mantenere. Questa precauzione non impedirà loro completamente di spiarvi, ma almeno impedirà alle applicazioni di concedere il vostro codice IMEI in modo indiscriminato. In questo caso, sono l’accesso al codice IMEI viene impostato con un’autorizzazione telefono. Grazie a questa stessa autorizzazione, le applicazioni possono conoscere il vostro numero di telefono, vedere le vostre chiamate, effettuare chiamate (a vostre spese naturalmente) e molto altro ancora, quindi vi consigliamo di non attivarla.