EFF выяснила, что ряд рекламных SDK для Android сами запрашивают и передают точную геолокацию пользователей третьим лицам, если приложение получило соответствующее разрешение. Разработчики об этом могут даже не знать, так как отдельного запроса для встроенных библиотек в системе нет.

Механизм работает так: приложение даёт доступ к геолокации, а SDK внутри него автоматически использует это разрешение для сбора координат и отправки их рекламным сетям. Причём Android не разделяет, кто именно из компонентов — само приложение или сторонняя библиотека — получает данные.

Проблема в том, что разработчик, подключивший такой SDK, часто не контролирует его поведение, а пользователь не может понять, кто именно из встроенных модулей сливает его местоположение. EFF отмечает, что это системная недоработка платформы, а не единичный случай.

В итоге точные координаты могут уходить рекламодателям без явного согласия пользователя, и это происходит незаметно для обеих сторон — и для владельца устройства, и для разработчика. Вопрос, как обычно, в том, когда Google закроет эту дыру.