Candy Crush、Tinder、MyFitnessPal：查看數千個被劫持以監視您位置的應用程式

一些世界上最受歡迎的應用程式可能被廣告業中的不法分子利用，以大規模收集敏感的定位數據，這些數據最終流向了一家曾將全球定位數據出售給美國執法機構的公司。

根據來自定位數據公司Gravy Analytics的被駭文件，數千個應用程式，包括像糖果傳奇 (Candy Crush) 這樣的遊戲和像Tinder這樣的約會應用程式，以及懷孕追蹤和宗教祈禱應用程式，這些應用程式遍及Android和iOS平台。由於大部分數據收集是通過廣告生態系統進行的，而不是應用程式開發者自己開發的代碼，因此這種數據收集很可能在用戶甚至應用程式開發者不知情的情況下發生。

首次公開證據

Silent Push網絡安全公司的高級威脅分析師Zach Edwards在審查了一些數據後告訴404 Media：“我們似乎首次公開證明，這家向商業和政府客戶銷售數據的最大數據經紀商之一，似乎是從在線廣告‘投標流’中獲取數據，而不是從應用程式本身嵌入的代碼中獲取。”

即時競價的內幕

這些數據提供了一個罕見的機會來窺探即時競價 (RTB) 的世界。歷史上，定位數據公司會支付應用程式開發者以包含收集用戶定位數據的代碼包。許多公司轉而通過廣告生態系統獲取定位信息，在這裡公司競標在應用程式內放置廣告。但副作用是數據經紀商可以在這個過程中竊聽並收集人們手機的定位。

隱私的噩夢場景

Edwards說：“這對隱私來說是一個噩夢場景，因為這次數據洩漏不僅包含從RTB系統中刮取的數據，還有某家公司像全球蜜獾一樣，隨心所欲地處理每一條數據。”

被駭的Gravy數據

被駭的Gravy數據中包括數千萬部位於美國、俄羅斯和歐洲的移動設備的坐標。其中一些文件還在每條定位數據旁邊提到了應用程式。404 Media提取了應用程式名稱並建立了一個提到的應用程式列表。

應用程式列表

列表包括約會網站Tinder和Grindr；大型遊戲如糖果傳奇 (Candy Crush)、神廟逃亡 (Temple Run)、地鐵跑酷 (Subway Surfers) 和哈利波特：拼圖與咒語 (Harry Potter: Puzzles & Spells)；交通應用程式Moovit；擁有超過1000萬次下載的經期追蹤應用程式My Period Calendar & Tracker；熱門健身應用程式MyFitnessPal；社交網絡Tumblr；雅虎的電子郵件客戶端；微軟的365辦公應用程式；以及航班追蹤應用程式Flightradar24。列表還提到了多個宗教應用程式，如穆斯林祈禱和基督教聖經應用程式，各種懷孕追蹤器，以及許多VPN應用程式，這些應用程式有些用戶可能會下載，具有諷刺意味的是，試圖保護他們的隱私。

完整列表

完整列表可以在這裡找到。多位安全研究人員已發布了其他包含在數據中的應用程式列表，大小不一。我們的版本相對較大，因為它包括了Android和iOS應用程式，我們決定保留同一應用程式的重複實例，這些實例名稱略有不同，以便讀者更容易搜索他們已安裝的應用程式。

數據來源不明

儘管這個數據集來自對Gravy的明顯駭客攻擊，但尚不清楚Gravy是否自己收集了這些定位數據，還是從另一家公司獲取的，或者最終是哪家公司擁有或被授權使用這些數據。