Een kleine, vaste groep achter de markt¶

Achter de advertentiemarkt zit een kleine groep locatie-databrokers. Zij verzamelen via meegeleverde SDK's de positie van miljoenen toestellen en verkopen die door. Ze staan zelden op een website waar je ze zou tegenkomen. Ze reizen mee in gewone apps, als bouwsteen die de maker erin zette voor een paar cent per gebruiker.

Dat is het patroon in een zin. De partij die je locatie krijgt, heeft geen relatie met jou en vaak niet eens met de app die je opende. Ze is meegeleverd. De ontwikkelaar wilde een kaartje, een advertentie of een analytics-functie, koos een kant-en-klare SDK, en die SDK bracht een datastroom naar een broker mee als onderdeel van de deal. De positie van het toestel is de betaling.

Wat een databroker is en hoe hij aan je positie komt¶

Een databroker verkoopt data over mensen zonder ooit een dienst aan die mensen te leveren. Voor locatie werkt dat via de software development kit, de SDK. Dat is een kant-en-klaar stuk code dat een ontwikkelaar in zijn app plakt om een functie snel werkend te krijgen. De broker biedt zo'n SDK gratis of goedkoop aan, en in ruil stuurt de SDK de locatie van het toestel door naar de broker.

Voor de ontwikkelaar is dat aantrekkelijk. Hij krijgt een werkende functie zonder die zelf te bouwen, en soms zelfs een kleine vergoeding per gebruiker. Voor de broker is het aantrekkelijker. Hij hoeft zelf geen populaire app te bouwen en geen gebruikers te werven. Hij levert een handige component aan honderden ontwikkelaars, en elk van die apps wordt een aanvoerkanaal. De positie van miljoenen toestellen stroomt zo binnen langs kanalen die geen van de gebruikers ooit heeft gekozen.

Dezelfde namen, keer op keer¶

Ik legde een index van honderden apps naast de bekende broker-SDK-lijsten. Dezelfde spelers keren steeds terug.

• X-Mode, dat inmiddels Outlogic heet en van de Amerikaanse toezichthouder FTC een verbod kreeg op het verkopen van gevoelige locatiedata.
• Gravy en Venntel, die locatiedata leverden aan Amerikaanse overheden.
• Daarnaast OneAudience, Sense360, SignalFrame, Fysical, Placed en Predicio.

Wie die namen kent, herkent het patroon overal terug. Dat is de waarde van een lijst. De eerste keer dat je een SDK-domein ziet, zegt het je niets. Nadat je de handvol vaste leveranciers eenmaal hebt gezien, springt hun aanwezigheid in een nieuwe app er meteen uit. Je hoeft het wiel niet elke keer opnieuw uit te vinden, want de leveranciers zijn grotendeels dezelfde gebleven.

Bewijsniveau: het terugkeren van deze namen in een index van apps is gemeten. Wat een broker vervolgens met de binnengekomen locatie doet, aan wie ze doorverkoopt en tegen welke prijs, is afgeleid uit wat over deze partijen publiek bekend is. Daaronder valt het FTC-optreden tegen X-Mode en de eerder gedocumenteerde leveringen door Gravy en Venntel aan overheden. Dat laatste heb ik niet zelf aan het verkeer afgelezen. Ik heb de aanwezigheid van de SDK gemeten en de rest gelezen in openbaar materiaal over deze bedrijven.

Waarom de SDK het gevaarlijke deel is¶

De app die je opent, is zelden het echte probleem. Het gevaar zit in de meegeleverde bouwsteen. Die praat langs de app om naar de broker. De app is de drager, de SDK is de passagier, en de passagier heeft zijn eigen bestemming. De kaartfunctie werkt zoals beloofd, en ondertussen vertrekt je positie langs een tweede spoor dat op het scherm nergens te zien is.

Zo ontstaat een stroom die geen van de zichtbare partijen helemaal overziet. De gebruiker kent de app. De app-maker kent de SDK en misschien een regel in de voorwaarden. Alleen de broker kent de volledige weg, want die staat aan het eind ervan. De broker verkoopt door aan wie betaalt, tot en met overheden, en de gebruiker heeft de naam van de broker nooit gezien, laat staan er een keuze over gekregen.

Dat is precies wat deze handel zo hardnekkig maakt. Elke schakel kan naar de volgende wijzen. De app-maker wijst naar de SDK-leverancier. De SDK-leverancier wijst naar zijn klanten. De verantwoordelijkheid verdampt in de keten, terwijl de data er wel doorheen blijft lopen.

Wat een naam in de code wel en niet aantoont¶

Een broker-SDK aantreffen in een app betekent dat de bouwsteen is ingebouwd. Het betekent niet automatisch dat er in dit geval ook echt locatie is verzonden. Een SDK kan aanwezig zijn en toch stil blijven, bijvoorbeeld omdat de gebruiker geen locatietoestemming gaf of omdat een functie niet werd geraakt. Andersom kan een app schoon lijken in een statische scan en pas onder gebruik gaan zenden, wanneer een scherm wordt geopend dat de SDK activeert.

Daarom houd ik twee dingen los. De aanwezigheid van een bekende broker-SDK is een sterk signaal en een reden om beter te kijken. Het bewijs dat data daadwerkelijk wegging, komt pas uit het verkeer zelf, uit de verbindingen die het toestel tijdens gebruik maakt. Een naam in de code opent het onderzoek, ze sluit het niet. Wie de aanwezigheid van de SDK meteen als bewijs van verzending presenteert, springt over een stap heen die hij nog moet zetten.

Waarom de gebruiker hier niets van merkt¶

De hele constructie is zo gebouwd dat ze onzichtbaar blijft voor wie de app gebruikt. De SDK draait op de achtergrond, vaak op het moment dat de app toch al locatie mag gebruiken voor zijn zichtbare functie. Het toestel vraagt een keer toestemming voor locatie, de gebruiker geeft die voor het kaartje of het weer, en dezelfde toestemming dekt de stille stroom naar de broker mee af.

Op het scherm is er niets te zien. Geen naam, geen logo, geen melding dat de positie het toestel verlaat richting een partij waarvan de gebruiker nooit heeft gehoord. De keuze die de gebruiker denkt te maken, gaat over de app. De stroom die hij niet ziet, gaat naar de broker. Daartussen zit geen scherm dat het verschil toont.

Dat is waarom een meting hier nodig is. Wat je met het blote oog niet kunt waarnemen, moet je uit het verkeer halen. De aanwezigheid van de SDK en de bestemming van de stroom worden pas zichtbaar als je meekijkt op het niveau waar de app en de gebruiker allebei niet kijken.

Wat dit voor een meting betekent¶

Een enkele app zegt weinig. Vind je in een app een broker-SDK, dan heb je een geval en niet meer dan dat. De maker kan de SDK verwijderen, de broker kan verdwijnen, de conclusie blijft klein.

De waarde zit in de index. Pas als je honderden apps tegen de brokerlijsten legt, verandert het beeld. Dan zie je dat het over een markt met vaste leveranciers gaat, die via steeds dezelfde handvol namen aftakt uit een groot aantal onderling onverwante apps. Losse incidenten worden een structuur zodra je ze op een hoop legt. Het patroon is de bevinding. Het losse geval is er alleen de bouwsteen van.

Dat is meteen de grens van deze meting. Ik kan laten zien dat de spelers klein in aantal en vast in samenstelling zijn, en dat ze breed meereizen door onverwante apps heen. Ik kan uit de index alleen niet de complete afzetketen van elke broker uittekenen. Waar hun data uiteindelijk belandt, tot en met overheden, steunt op wat publiek over deze partijen bekend is en op het patroon dat de index blootlegt.

Zie ook Onverwante apps sturen je profiel dezelfde veiling in, Real-time bidding biedt jouw toestel in een veiling aan, in milliseconden en Een naam in de code is nog geen tracker.