แอปยอดนิยมเสี่ยงถูกดักเก็บข้อมูลตำแหน่งที่ตั้งผ่านระบบโฆษณา RTB
ผู้ใช้งานสมาร์ทโฟนทั่วโลกอาจกำลังถูกติดตามตำแหน่งที่ตั้งโดยไม่รู้ตัว เมื่อมีการเปิดเผยว่าแอปพลิเคชันยอดนิยมจำนวนมหาศาลถูกใช้เป็นช่องทางในการเก็บข้อมูลพิกัดที่ละเอียดอ่อน ซึ่งข้อมูลเหล่านี้ถูกส่งต่อไปยังบริษัทนายหน้าข้อมูล (Data Broker) และอาจถูกนำไปขายให้กับหน่วยงานบังคับใช้กฎหมายในสหรัฐอเมริกา
สิ่งที่น่ากังวลที่สุดคือ กระบวนการนี้ไม่ได้เกิดขึ้นจากโค้ดที่ผู้พัฒนาแอปเขียนขึ้นเอง แต่เป็นการอาศัยช่องโหว่ใน ระบบนิเวศการโฆษณาออนไลน์ ทำให้ทั้งผู้ใช้งานและแม้แต่เจ้าของแอปเองก็อาจไม่ทราบว่าข้อมูลส่วนตัวกำลังถูกดักจับออกไป
กลไกการดักจับข้อมูลผ่าน Real-Time Bidding (RTB)
ในอดีต บริษัทเก็บข้อมูลมักจะจ่ายเงินให้ผู้พัฒนาแอปเพื่อฝังโค้ดติดตามลงในแอปโดยตรง แต่ปัจจุบันได้เปลี่ยนมาใช้วิธีการที่แนบเนียนกว่าผ่านระบบ Real-Time Bidding (RTB) หรือการประมูลโฆษณาแบบเรียลไทม์ ซึ่งเป็นกระบวนการที่บริษัทโฆษณาประมูลพื้นที่เพื่อแสดงโฆษณาภายในแอปพลิเคชัน
ในขณะที่การประมูลเกิดขึ้น ข้อมูลบางส่วนรวมถึงตำแหน่งที่ตั้งของอุปกรณ์จะถูกส่งออกมาเพื่อให้ผู้ประมูลตัดสินใจเลือกโฆษณาที่เหมาะสม ซึ่งบริษัทนายหน้าข้อมูลบางแห่งจะทำตัวเป็นผู้ประมูลเพื่อ "แอบฟัง" และดักเก็บข้อมูลพิกัดเหล่านี้ไว้โดยที่ไม่ได้มีความตั้งใจจะซื้อพื้นที่โฆษณาจริงๆ
การระบุตำแหน่งผ่าน IP Address
นอกจากการใช้ GPS แล้ว ข้อมูลบางส่วนยังถูกระบุตำแหน่งผ่าน IP Address (หมายเลขประจำเครื่องคอมพิวเตอร์หรืออุปกรณ์ที่เชื่อมต่อเครือข่าย) ซึ่งแม้จะมีความแม่นยำน้อยกว่าระบบดาวเทียม แต่ก็เพียงพอที่จะบอกพิกัดคร่าวๆ ของผู้ใช้งานได้
รายชื่อแอปที่ปรากฏในข้อมูลที่รั่วไหล
จากการตรวจสอบไฟล์ที่ถูกแฮ็กจากบริษัท Gravy Analytics พบว่ามีข้อมูลพิกัดของอุปกรณ์นับสิบล้านเครื่องจากสหรัฐฯ รัสเซีย และยุโรป โดยมีแอปพลิเคชันหลากหลายประเภทที่เกี่ยวข้อง ดังนี้:
- เกมยอดนิยม: Candy Crush, Temple Run, Subway Surfers และ Harry Potter: Puzzles & Spells
- แอปหาคู่และโซเชียล: Tinder, Grindr และ Tumblr
- แอปสุขภาพและไลฟ์สไตล์: MyFitnessPal และ My Period Calendar & Tracker
- แอปเครื่องมือและบริการ: Microsoft 365, Yahoo Mail, Flightradar24 และ Moovit
- แอปเฉพาะทาง: แอปติดตามการตั้งครรภ์, แอปสวดมนต์ทางศาสนา (ทั้งอิสลามและคริสต์) รวมถึงแอป VPN ที่ผู้ใช้ติดตั้งเพื่อหวังจะปกป้องความเป็นส่วนตัว
| หัวข้อ | รายละเอียด |
|---|---|
| แหล่งที่มาของข้อมูล | การดักจับผ่านระบบ RTB (Real-Time Bidding) |
| บริษัทที่เกี่ยวข้อง | Gravy Analytics และบริษัทลูก Venntel |
| กลุ่มเป้าหมายที่ได้รับข้อมูล | บริษัทเอกชน และหน่วยงานรัฐ (เช่น FBI, IRS, DEA) |
| ประเภทแอปที่ได้รับผลกระทบ | เกม, หาคู่, สุขภาพ, ศาสนา, และเครื่องมือสำนักงาน |
| ช่วงเวลาของข้อมูล | พบข้อมูลที่ระบุว่าเกิดขึ้นในปี 2024 |
ข้อเท็จจริงสำคัญ
- การดักจับแบบไม่รู้ตัว: ผู้พัฒนาแอปส่วนใหญ่ปฏิเสธว่าไม่มีความสัมพันธ์กับ Gravy Analytics แต่ยอมรับว่ามีการใช้เครือข่ายโฆษณาในแอป
- เส้นทางข้อมูล: ข้อมูลไหลจากแอป $\rightarrow$ ระบบโฆษณา $\rightarrow$ Gravy Analytics $\rightarrow$ Venntel $\rightarrow$ หน่วยงานรัฐบาลสหรัฐฯ
- บทบาทของยักษ์ใหญ่เทคโนโลยี: มีหลักฐานว่า Google Mobile Ads SDK เป็นหนึ่งในเครื่องมือที่นำไปสู่การติดตามข้อมูลนี้
- มาตรการทางกฎหมาย: FTC (คณะกรรมการการค้าแห่งสหรัฐฯ) เคยสั่งแบนบริษัท Mobilewalla และสั่งให้ Gravy ลบข้อมูลที่เก็บโดยไม่ได้รับความยินยอม
คำถามที่พบบ่อย
ทำไมผู้พัฒนาแอปถึงไม่รู้ว่าข้อมูลถูกขโมย?
เพราะการดักจับไม่ได้เกิดขึ้นที่ตัวโค้ดของแอป แต่เกิดขึ้นในขั้นตอนการประมูลโฆษณา (RTB) ซึ่งเป็นกระบวนการภายนอกที่ผู้พัฒนาแอปควบคุมไม่ได้ทั้งหมด
การใช้ VPN ช่วยป้องกันปัญหานี้ได้หรือไม่?
แม้ VPN จะช่วยซ่อน IP Address แต่หากแอปมีการขอสิทธิ์เข้าถึงตำแหน่งที่ตั้ง (Location Permission) และส่งข้อมูลนั้นเข้าสู่ระบบ RTB ข้อมูลพิกัดก็ยังสามารถถูกดักจับได้
ข้อมูลเหล่านี้ถูกนำไปใช้ทำอะไร?
ข้อมูลถูกนำไปขายให้กับบริษัทเชิงพาณิชย์เพื่อการตลาด หรือขายให้หน่วยงานรัฐบาลเพื่อใช้ในการสอดแนมและติดตามตัวบุคคล
เราจะป้องกันตัวเองได้อย่างไร?
วิธีเบื้องต้นคือการจำกัดการเข้าถึงตำแหน่งที่ตั้งของแอปพลิเคชันในตั้งค่าของสมาร์ทโฟน และพยายามใช้เครื่องมือบล็อกโฆษณาเพื่อลดการส่งข้อมูลเข้าสู่ระบบ RTB
