Image : Cathryn Virginia/Carte mère

Piratage. Désinformation. Surveillance. CYBER est le podcast de Motherboard et un reportage sur le ventre sombre d’Internet.

Google a interdit SafeGraph, une entreprise de données de localisation dont les investisseurs incluent un ancien chef du renseignement saoudien, a appris Motherboard. L’interdiction signifie que toutes les applications fonctionnant avec SafeGraph devaient supprimer le code de collecte de l’emplacement incriminé de leurs applications. SafeGraph commercialise ses données auprès d’entités gouvernementales et d’un large éventail d’industries, mais il vend également les données sur le marché libre à pratiquement n’importe qui.

La nouvelle signale la répression continue de Google contre les entreprises de données de localisation qui parfois, en violation des politiques de Google, paient les développeurs d’applications pour inclure leur code de collecte de données, puis vendent les données collectées à des entreprises ou à des agences gouvernementales.

« Ils sont prêts à vendre des données extrêmement fines et toute personne possédant une carte de crédit peut commencer à l’acheter », a déclaré à Motherboard l’année dernière Zach Edwards, un chercheur qui a suivi de près la chaîne d’approvisionnement de diverses sources de données. lui et Motherboard enquêtaient séparément sur SafeGraph.

Travaillez-vous chez SafeGraph ou êtes-vous client ? Avez-vous travaillé là-bas ou connaissiez-vous autre chose sur l’industrie des données de localisation ? Nous aimerions recevoir de vos nouvelles. À l’aide d’un téléphone ou d’un ordinateur non professionnel, vous pouvez contacter Joseph Cox en toute sécurité sur Signal au +44 20 8133 5190, Wickr sur josephcox ou par e-mail à joseph.cox@vice.com.

SafeGraph a collecté au moins certaines de ses données de localisation en demandant aux développeurs d’applications d’intégrer le code de l’entreprise, ou le kit de développement logiciel (SDK), dans leurs propres applications. Ces applications suivraient ensuite l’emplacement physique de leurs utilisateurs, que SafeGraph reconditionnerait puis vendrait à d’autres parties. Google a confirmé à Motherboard qu’il avait dit aux développeurs d’applications début juin qu’ils avaient sept jours pour supprimer le SDK de SafeGraph de leurs applications. S’ils ne le faisaient pas, Google a déclaré à Motherboard que les applications pourraient être mises en application. Cela peut signifier la suppression du Play Store lui-même.

Au-delà de ses propres données, SafeGraph offre également aux clients la possibilité d’acheter des ensembles de données connexes auprès d’autres fournisseurs pour enrichir les informations de localisation, telles que les noms des propriétaires aux États-Unis.

L’année dernière, Motherboard a acheté un petit ensemble de données à SafeGraph pour environ 200 $ afin de tester la facilité d’obtention et de vérifier le type d’informations qu’il contenait. Il comprenait une liste de points d’intérêt pour la zone pour laquelle nous avons acheté des données, ainsi que d’autres informations telles que le prochain point d’intérêt spécifique auquel les visiteurs se sont rendus. Par exemple, une ligne montrait les personnes qui se rendaient à l’Église de Jésus-Christ des Saints des Derniers Jours puis visitaient une liste de magasins de proximité particuliers.

« À mon avis, les données SafeGraph sont bien au-delà de tout seuil de sécurité [around anonymity] », a déclaré Edwards l’année dernière lorsque Motherboard lui a montré les données. Universitaires et journalistes ont trouvé à plusieurs reprises comment il est possible pour désanonymiser des personnes spécifiques dans des ensembles de données de localisation. Dans son propre test, Edwards a indiqué un résultat de recherche sur le portail SafeGraph qui montrait des données relatives à une petite clinique médicale spécifique, démontrant à quel point les données de SafeGraph peuvent cibler des emplacements particuliers.

L’année dernière, le New York Times données SafeGraph utilisées (et les données d’autres courtiers en données de localisation) pour créer des cartes montrant où les gens passaient leur temps après le relâchement des blocages des coronavirus. Il a tenté d’estimer à quel point divers restaurants, gymnases et cafés étaient bondés et à quel point ils pouvaient être dangereux. À l’époque, Motherboard a demandé au Times pourquoi il se sentait à l’aise d’utiliser les données de SafeGraph, étant donné que ses propres journalistes ont montré plus tôt comment elles pouvaient être utilisées pour violer la vie privée des gens. « Nous sommes convaincus que notre utilisation de ces données dans les nouvelles et les opinions était responsable », a déclaré un porte-parole du New York Times. « Les données utilisées dans [two articles that used location data] est agrégé et n’incluait pas de données de localisation individualisées. Comme vous le constatez, à la fois les rédaction et avis ont mené des enquêtes approfondies montrant les dangers de permettre aux entreprises de vendre des données de localisation individualisées. Dans les deux cas, les données utilisées dans ces enquêtes ont été stockées en toute sécurité pendant le processus de signalement et définitivement effacées. »

Sur son site internet SafeGraph dit « Nous pensons que les données des lieux devraient être ouvertes à tous. » En avril 2017, Turki bin Faisal Al Saud, l’ancien chef de l’agence de renseignement saoudienne, investi dans SafeGraph dans le cadre d’un tour de table de 16 millions de dollars de série A. SafeGraph a déclaré qu’il avait « rassemblé les plus grands penseurs politiques ». Au-delà de Faisal Al Saud, SafeGraph a déclaré avoir demandé l’aide de l’ancien chef de la majorité à la Chambre des États-Unis Eric Cantor, de l’auteur Sam Harris, de Meghan O’Sullivan qui a dirigé la politique en Irak et en Afghanistan sous le président George Bush, ancien chef de cabinet adjoint du président Obama Mona Sutphen , et l’ancien ministre allemand de la Défense Karl-Theodor zu Guttenberg, entre autres. Peter Thiel est également investisseur dans l’entreprise.

SafeGraph était l’une des nombreuses entreprises de données de localisation qui ont saisi l’opportunité de vendre leurs données collectées pour aider à contrer la pandémie de COVID-19 en cours. Les utilisateurs de SafeGraph comprenaient le CDC et au moins un service de santé du comté, selon des documents et des enregistrements en ligne examinés par Motherboard.

« PÉRIODE DE LICENCE : au moins 1 an ou jusqu’à ce que la réponse mondiale au COVID-19 (Coronavirus) se soit calmée », indique un accord de licence de données entre SafeGraph et le comté de Santa Clara, obtenu par Motherboard via une demande de loi sur les dossiers publics. En avril, le CDC a payé à SafeGraph 420 000 $ pour « la collecte et la communication de données », selon les dossiers des marchés publics.

Une capture d’écran de l’accord entre le comté de Santa Clara et SafeGraph. Image : Carte mère.

On ne sait pas si SafeGraph collecte toujours des données à partir d’appareils Android après l’interdiction de Google. Plus tôt ce mois-ci Le journal de Wall Street signalé qu’une société similaire appelée X-Mode, qui Google interdit après Carte mère révélée il a collecté des informations à partir d’une application de prière musulmane et compte des sous-traitants militaires américains parmi ses clients, a trouvé une solution de contournement pour continuer à collecter des informations de localisation à partir d’applications. Désormais, X-Mode fournit des outils aux développeurs d’applications individuels pour collecter eux-mêmes les données de localisation, qui les transmettent ensuite à X-Mode, ce qui rend sans doute plus difficile pour Google, les chercheurs, les journalistes ou les régulateurs de détecter les abus.

Keith Chu, directeur des communications du bureau du sénateur Ron Wyden, a déclaré à Motherboard que lorsqu’il a exhorté Apple et Google à prendre des mesures contre X-Mode à la suite des rapports de Motherboard, le bureau a également signalé SafeGraph aux géants de la technologie. Chu a ajouté que le bureau de Wyden avait essayé de contacter SafeGraph en juin, juillet et deux fois en août de l’année dernière, mais n’avait jamais reçu de réponse.

Dans un communiqué, Wyden a déclaré que cette application était la bonne décision de Google, mais Google et Apple « doivent faire plus que jouer à la taupe avec des applications qui vendent les informations de localisation des Américains. Ces entreprises ont besoin d’un véritable plan pour protéger les utilisateurs. la confidentialité et la sécurité de ces applications malveillantes. »

Google aussi interdit une autre entreprise de localisation appelée Predicio après le rapport de Motherboard.

SafeGraph n’a pas répondu aux multiples demandes de commentaires sur son interdiction du Google Play Store.

Mise à jour : cet article a été mis à jour pour inclure des cas d’utilisation plus spécifiques des données SafeGraph.

Abonnez-vous à notre podcast sur la cybersécurité CYBER, ici.