Коротко: 8 августа 2026 года организация Electronic Frontier Foundation опубликовала исследование: четыре рекламных SDK для Android — InMobi, BidMachine, HyBid (Verve) и Petal Ads (Huawei) — по умолчанию собирают точные GPS-координаты пользователей без их отдельного согласия. Механизм прост: архитектура Android позволяет встроенным SDK пользоваться разрешениями главного приложения. Вы разрешили геолокацию погодному виджету — рекламная библиотека внутри получила те же права и молча отправила ваши координаты на рекламные торги.
Что обнаружила EFF
Исследователи Electronic Frontier Foundation изучили документацию десятков рекламных SDK, встраиваемых разработчиками в приложения Android. Четыре из них — InMobi, BidMachine, HyBid (Verve) и Petal Ads (Huawei) — включают сбор геолокационных данных по умолчанию, без дополнительного согласия пользователя. Как отключить рекламный идентификатор, из которого складывается ваш профиль, — в нашем руководстве по рекламному ID.
EFF привела конкретные примеры: QR Scanner (свыше 50 млн установок) и GPS Speedometer (свыше 10 млн) передавали точные координаты в BidMachine, не упомянув об этом в разделе «Безопасность данных» Google Play. InMobi прямо рекомендует разработчикам запрашивать точную геолокацию, называя это способом «повысить ценность пользователей» для рекламных партнёров.
Почему Android особенно уязвим
Когда приложение получает разрешение на геолокацию — ради прогноза погоды, навигации или спидометра — все встроенные SDK автоматически пользуются этим разрешением. Никакого отдельного диалога «рекламная сеть InMobi хочет узнать ваши координаты» не появляется. Android видит одно приложение — и одно выданное ему разрешение.
EFF подчёркивает: именно такая архитектура делает согласие пользователя формальным. Вы разрешаете навигационный функционал, а права получает вся рекламная экосистема внутри приложения. Разработчикам это выгодно: чем точнее координаты, тем дороже аудитория на рекламных торгах.
Куда уходят ваши координаты
Данные, собранные через SDK, поступают на аукционы Real-Time Bidding (RTB) — торги в реальном времени, где сотни компаний одновременно конкурируют за право показать вам рекламу. Каждый такой аукцион передаёт данные всем участникам сразу, включая тех, кто не выиграл ставку. После RTB координаты оседают у брокеров данных, которые накапливают и продают детальные профили: где вы живёте, работаете, что посещаете по вечерам.
Взлом брокера Gravy Analytics в 2025 году показал реальные последствия: американская иммиграционная служба ICE использовала его базы для отслеживания конкретных людей. Аналогичные наборы применялись для слежки за активистами и военнослужащими. Для обычного пользователя угроза схожая: маршрут «дом — работа — поликлиника» формирует профиль, из которого делаются выводы о здоровье, финансовом положении и образе жизни.
Как снизить риск
Несколько практических шагов сокращают передачу координат рекламным SDK:
- Выдавайте геолокацию «только во время использования». Разрешение «всегда» позволяет фоновый сбор. Настройки → Приложения → [Приложение] → Разрешения → Местоположение.
- Выбирайте «приблизительное» местоположение. На Android 12+ можно ограничить точность. Для большинства утилит разницы нет, а для рекламного SDK — существенная.
- Регулярно сбрасывайте рекламный идентификатор (Настройки → Конфиденциальность → Реклама → Сбросить ID). Это усложняет долгосрочное профилирование.
- Используйте VPN без логов. LiMP VPN скрывает ваш реальный IP и шифрует трафик, не позволяя SDK связывать координаты с конкретным подключением, провайдером или домашней сетью. IP-адрес — один из ключевых сигналов в рекламных профилях, особенно когда точный GPS недоступен.
- Проведите ревизию утилит. Удалите или замените приложения от неизвестных издателей, которым вы дали доступ к геолокации. Проверить встроенные трекеры можно через Exodus Privacy.
Подробнее о различных формах слежки через смартфон — в руководстве как защитить телефон от слежки.