針對位置資料轉售巨頭 Gravy Analytics 的網路攻擊揭示了線上資訊收集的秘密。根據網路犯罪分子發布的文件，數十億智慧型手機的位置透過 3,000 個行動應用程式（包括非常流行的應用程式）進行監控。這次洩漏凸顯了不透明的廣告資料收集做法，而這些做法通常是在用戶和開發者不知情的情況下進行的…
上週，我們 404 Media 的同事透露，肉汁分析是一家專門從事基於位置的數據轉售的公司是網路攻擊的受害者。網路犯罪分子成功奪取了該美國組織的資料庫，其中包括位置數據透過智慧型手機收集。這些數據揭示了用戶生活、工作和旅行的地點。這些資訊顯然是匿名的，最初是供廣告商使用的。
另請閱讀：美國遭遇巨大資料外洩
已確認的網路攻擊
幾天后，肉汁分析確認所收集的資料被盜由他在新聞稿中提出。 Gravy Analytics 的母公司 Unacast 向挪威當局報告了這起洩密事件。 Unacast 於 2004 年在挪威成立，並於 2023 年與 Gravy Analytics 合併。
在 TechCrunch 發現的違規通知中，Unacast 表示其在 2025 年 1 月 4 日發現了攻擊。“未經授權的存取”被記錄在雲端儲存亞馬遜提供。這種訪問是透過使用「被劫持的存取密鑰」。目前尚不清楚駭客如何獲得導致網路攻擊的存取密鑰。
“未經授權的人能夠訪問一些文件，但這些文件的確切內容以及可能存在的個人資料仍在調查中”，Unacast 解釋道，並強調該警告已更新“預防性標題”。
Unacast 指出，只有當駭客接觸 Gravy Analytics 時才偵測到該事件。挪威社會“目前正在調查以確定個人資料是否受到影響”。根據調查結果，專家組將通知所有受影響的人，依法。她補充說，她已經聯繫了英國主管當局。
哪些應用程式洩露了您的位置資料？
為了證明他們的說法，駭客發布了3000 萬個識別符的樣本，在一個俄語論壇上，總數達到了令人印象深刻的 70 億。每個識別碼代表地圖上的智慧型手機。透過深入研究網路犯罪分子提供的樣本，研究人員建立了受洩漏影響的應用程式的非詳盡清單。 Gravy Analytics 很可能透過這些應用程式收集了大量的位置資料。
專家巴蒂斯特·羅伯特（Baptiste Robert）詳細研究了這些文件，編制了一份涉及以下方面的應用程式清單：吉圖布。根據法國研究人員的調查，該公司依賴超過 3,000 個應用程式實現其目標並追蹤數十億部智慧型手機。在引用的應用程式中，我們發現了 Tinder 和 Grindr 等約會應用程式、《決勝時刻》或《Candy Crush》等遊戲、Tumblr 等社交網路或 MyFitnessPal 等健身應用程式。我們也可以找到 Yahoo Mail 或 MooveIt。研究人員還強調了懷孕追蹤應用程序，包括「我的經期日曆和追蹤器」。
隱形數據採集
所確定的幾個應用程式已經牢牢地否認與 Gravy Analytics 有任何勾結，儘管在受損的數據樣本中發現了記錄。 Tinder 就是這種情況。我們的同事聯繫了有線，約會應用程式否認“與 Gravy Analytics 的任何關係”並表示沒有“沒有證據表明這些數據是從 Tinder 應用程式獲得的”。 Grindr 也有同樣的故事，它聲稱沒有「從未參與或向 Gravy Analytics 提供數據」：
“我們不與數據聚合商或經紀人共享數據，並且多年來沒有與廣告合作夥伴共享地理位置。”
這並不奇怪。事實證明，大部分資料收集都是在透過廣告生態系統，而不是由應用程式創建者的程式碼。最終，對位置資料的渴望通常是在使用者甚至應用程式開發人員沒有意識到的情況下發生的。正如研究員 Zach Edwards 向《連線》雜誌解釋的那樣，“第一次”我們有「公開證據表明，向商業和政府客戶銷售的最大數據經紀人之一從線上廣告的『競價源』獲取信息，而不是直接嵌入應用程式中的程式碼»。
「這是一場隱私噩夢：這次洩漏不僅暴露了從實時競價 (RTB) 系統中提取的數據，而且還揭示了一家充當全球掠奪者的公司的存在，操縱和利用每一條落下的數據。到他手裡”，研究人員分析。
當使用者造訪網站或使用應用程式時，他們的資訊（例如他們的位置）會與廣告商分享，以確定首先顯示哪個廣告。這種資料共享通常對使用者不可見，但可以被 Gravy Analytics 等資料代理等第三方利用。
來源 ： TechCrunch
