Android廣告SDK默認洩漏精準位置，EFF調查揭發數據經紀人暗中收集

Android廣告SDK點樣預設洩漏位置數據？

EFF調查咗幾十個常用嘅Android廣告SDK，發現四個廣告SDK——InMobi、BidMachine、Verve嘅HyBid，同埋華為嘅Petal Ads——一旦宿主App獲得咗位置權限，呢啲SDK就會自動開始收集並分享用戶嘅精準位置。

• 呢啲SDK會將位置數據注入實時競價（RTB）系統，然後數據經紀人就從嗰度收集呢啲數據，建立數以億計用戶嘅詳細移動軌跡檔案，而用戶完全唔知情或冇畀過真正嘅同意。
• EFF嘅網絡流量分析發現，BidMachine最初嘅文件唔準確，聲稱唔會收集位置，但經過EFF技術分析證實佢哋預設傳送精準位置，之後BidMachine先更新文件。
• InMobi仲喺自己嘅開發者文件入面強調，保留位置共享可以帶嚟更高嘅廣告收入，變相鼓勵開發者唔好關閉呢個功能。
• 呢啲廣告渠道收集到嘅位置數據，之前已經被用於ICE（美國移民及海關執法局）調查、全球間諜工具、揭露同性戀神職人員身份、追蹤工會組織者同美軍人員等嚴重侵犯私隱嘅用途。

Android權限框架嘅結構漏洞

EFF指出，問題核心係Android嘅權限模型冇區分App本身同佢嵌入嘅SDK。當用戶授予位置權限畀一個App，任何嵌入嘅第三方SDK都會自動繼承呢個權限。

• 廣告SDK嘅位置共享設定預設為「開」，開發者如果冇主動關閉，就會喺唔知情嘅情況下將用戶嘅精準GPS坐標傳送畀廣告網絡同數據經紀人。
• 好多開發者為咗賺錢而整合SDK，但根本唔知道SDK預設會外洩位置數據，而且Android平台冇提供精細嘅機制，可以喺保留App本身位置功能嘅同時，封鎖SDK層面嘅存取。
• Google Play喺2026年10月28日會更新政策，引入「位置按鈕」作為精準位置嘅建議最低範圍，但呢個改動喺EFF報告發表時仍未生效，而且解決唔到SDK繼承權限嘅根本問題。

維珍尼亞州2026年地理定位數據禁售令

喺法規層面，維珍尼亞州行前咗一步。2026年7月1日，維珍尼亞州修訂嘅《消費者資料保護法》（VCDPA）正式生效，禁止數據控制者出售或要約出售消費者嘅精準地理定位數據（定義為準確到約1,750英尺範圍內嘅位置資訊）。

• 州長Abigail Spanberger喺2026年4月13日簽署咗參議院第338號法案，令維珍尼亞州成為繼馬里蘭州同俄勒岡州之後，美國第三個實施呢種禁令嘅州。
• 呢個禁令將VCDPA原先嘅選擇退出（opt-out）同意模式，改為全面禁止銷售，但佢冇直接限制EFF所記錄嘅預設共享管道。
• EFF嘅報告特別指出，即使有州級禁售令生效，SDK預設收集數據嘅結構問題仍然存在，因為數據可以共享（而非出售）同用於廣告定位，技術上唔會觸發禁售令。

EFF建議開發者點樣應對

EFF認為，與其靠用戶自己保護私隱，不如由開發者同監管機構主動解決問題。佢哋提出以下建議：

1. 關閉非必要嘅位置收集：開發者必須主動關閉廣告SDK嘅位置共享設定，唔好依賴預設配置。
2. 仔細檢查SDK文件：EFF發現有啲SDK文件唔準確或者故意淡化位置收集問題，開發者應該自己做技術測試，確認傳送咗啲乜嘢數據。
3. 揀選尊重私隱嘅SDK：選擇預設唔收集位置數據嘅廣告庫，而且佢哋嘅數據處理文件要清晰準確。
4. 採取數據最小化原則：只有喺App核心功能真係需要嘅時候先至請求位置權限，盡可能用大概位置代替精準位置。

EFF技術專家Lena Cohen指出：「用戶可以採取額外措施保護自己嘅位置私隱，但佢哋唔應該要咁做。開發者、監管機構同立法者必須行動，阻止App將用戶位置洩漏畀廣告公司同數據經紀人。」