L'application Accuweather sur ios permet de suivre l'emplacement de l'utilisateur même lorsqu'il est désactivé

AccuWeather, l'une des applications météo les plus populaires sur l'Apple App Store avec des millions de téléchargements, accède aux données de localisation de l'utilisateur sans l'autorisation expresse de l'utilisateur et l'envoie à une firme de monétisation de données tierce.

Comme l'a fait remarquer Security Researcher Will Strafach, AccuWeather demande à l'utilisateur d'autoriser l'application à accéder à l'emplacement de l'appareil même lorsque l'application n'est pas utilisée afin d'obtenir des mises à jour plus rapides et de réduire le temps de lancement de l'application.

Mais si un utilisateur accorde l'autorisation de localisation, Strafach a découvert que l'application commençait à envoyer des bribes d'informations à 'unremmobile (.com)'.

Ces informations incluent les coordonnées GPS, la vitesse actuelle et l’altitude; nom et BSSID du routeur WiFi actuellement connecté au périphérique et si Bluetooth a été activé ou désactivé sur le périphérique.

Lisez également: Fatigué des sites Web fouiller dans votre emplacement? Voici comment les arrêter

Strafach a intercepté les données de son iPhone et a découvert que pendant une période de 36 heures, l'application AccuWeather - fonctionnant en arrière-plan - envoyait les informations susmentionnées à RevealMobile toutes les quelques heures, soit 16 fois au total.

Selon le site Web de RevealMobile, ils «convertissent les signaux de localisation des mobiles en audiences de grande valeur». Cela aide les entreprises associées à RevealMobile à générer davantage de revenus avec ou sans publicité.

«Les données de localisation informent également le domicile et le lieu de travail des clients. En associant ces informations aux critères de ciblage démographique existants, les détaillants peuvent cibler les consommateurs ayant une forte propension à visiter en fonction de deux de leurs sites les plus pertinents », lit-on sur le site Web de RevealMobile.

Cela signifie que l'application AccuWeather transmettait activement les données de votre position au site Web, qui à son tour monétisait les données en les fournissant aux parties intéressées telles que les détaillants et les annonceurs.

«Nous écoutons les données lat / long et lorsqu'un périphérique« se heurte »à une balise Bluetooth», ajoute le site.

De plus, AccuWeather n'est pas un cas isolé. Le site Web de RevealMobile prétend également exécuter son service sur des centaines d'applications mobiles à travers les États-Unis.

Lisez aussi: Voici comment empêcher Uber de suivre votre position

Une autre application météo présentant des schémas de transmission de données similaires à RevealMobile est la suivante: App Météo du jour de Frank de KPRC 2.

AccuWeather app ou RevealMobile n’ont peut-être pas d’intention malveillante, mais la façon dont ils procurent des informations d’utilisateur - sans leur consentement explicite et leur connaissance - semble être incorrecte.

Selon un rapport de ZDNet, AccuWeather et RevealMobile mettront à jour leurs applications et leurs services après cette révélation.

Mise à jour: «Si un utilisateur quitte le suivi de la localisation sur AccuWeather, aucune adresse GPS n'est collectée ou transmise sans l'autorisation supplémentaire de l'utilisateur», ont déclaré AccuWeather et RevealMobile à.

Dans leur déclaration commune à, les sociétés ont révélé que les informations du réseau Wi-Fi "qui ne sont pas des informations d'utilisateur" étaient disponibles sur le SDK de Reveal pendant une courte période, mais AccuWeather n'était pas au courant de l'existence de telles données et ne les utilisait à aucun moment. n'importe quel but.

«Nous reconnaissons qu'il s'agit d'un domaine en évolution rapide et que la meilleure pratique d'un jour peut changer le lendemain. Pour éviter toute erreur d'interprétation, Reveal met à jour son SDK et en publie de nouvelles versions dans les prochaines 24 heures, la mise à jour iOS étant mise en ligne ce soir. ”

Suite à la mise à jour, aucune donnée ne sera transmise à RevealMobile une fois que l'utilisateur aura choisi de ne pas partager de lieu. AccuWeather affirme avoir désactivé le SDK jusqu'à ce qu'il soit mis à jour.

«Les kits SDK pourraient être mal interprétés et ils garantissent qu'aucune information recueillie n'a jamais permis de procéder à une ingénierie inverse des lieux», a déclaré Reveal.

Le SDK sera mis à jour après cette mise à jour et les sociétés éditeront également leur contrat de licence utilisateur final afin d'accroître la transparence pour les utilisateurs.

Mise à jour 2 (24 août): AccuWeather a mis à jour son application pour iOS et a complètement supprimé RevealMobile.

«L'application AccuWeather utilisait un kit de développement logiciel (SDK) d'un fournisseur tiers (Reveal Mobile) qui autorisait par inadvertance la transmission des données du routeur Wi-Fi à ce fournisseur tiers. À aucun moment, AccuWeather n’a eu accès à ces données ou les a utilisées, et le fournisseur nous a assuré qu’il en était de même pour lui », a déclaré AccuWeather à.