Apps populares de Android compartilham sua localização exata com anunciantes, e nem os criadores sabem disso

Dois aplicativos batidos como corriqueiros no celular de qualquer pessoa, um leitor de QR code e um velocímetro por GPS, estão no centro de uma investigação que aponta um problema bem maior do que parece. Segundo a TechCrunch, o QR Scanner soma mais de 50 milhões de downloads e o GPS Speedometer passa de 10 milhões, e os dois vinham enviando a localização exata dos usuários a uma rede de publicidade chamada BidMachine sem pedir consentimento ou sequer avisar que isso acontecia.

O mais intrigante da história é que a culpa parece não ser nem dos próprios desenvolvedores. O Android trabalha com um modelo de permissão único por app: quando você autoriza um aplicativo a acessar sua localização, todas as bibliotecas de código embutidas nele, incluindo os SDKs de publicidade usados para gerar receita com anúncio, herdam esse mesmo acesso automaticamente. Não existe uma permissão separada só para essas bibliotecas de terceiros. Para bloquear o repasse, o programador precisaria desativar essa coleta manualmente dentro do código, um passo extra que muita gente nem sabe que precisa dar.

A Electronic Frontier Foundation, organização que também investigou o caso junto com a TechCrunch, chama atenção para o destino final desses dados. Localização não é um dado qualquer: reunida ao longo do tempo, ela desenha os hábitos de alguém com uma precisão incômoda, onde mora, onde trabalha, quem visita, que lugares frequenta. Segundo a entidade, esse tipo de informação alimenta um mercado de corretores de dados que revendem históricos de localização para empresas de marketing, e em casos mais graves para governos e agências de inteligência.

Chama atenção também o fato de que nenhum dos dois apps declarava esse compartilhamento na seção “Segurança de dados” da Play Store, o espaço que o próprio Google exige que todo desenvolvedor preencha justamente para informar esse tipo de prática ao usuário antes de instalar. Ou seja, quem baixou QR Scanner ou GPS Speedometer não tinha como saber, nem lendo a ficha do app na loja, que a localização estava sendo repassada adiante.

Vale separar bem as coisas aqui: isso não é um vírus, nem um golpe deliberado bolado por quem criou os apps. É mais estrutural do que isso, uma brecha no jeito como o próprio sistema operacional distribui permissão entre um app e o código de terceiros que roda dentro dele. E é exatamente isso que torna o caso preocupante, porque não dá para culpar um app ruim específico e seguir a vida. Qualquer aplicativo que use esse tipo de SDK de anúncio pode estar no mesmo barco sem que ninguém, nem o próprio time que o desenvolveu, tenha percebido.

Para quem usa Android, a saída prática está nas configurações de privacidade do próprio celular. Vale abrir a lista de permissões concedidas e revisar quais apps realmente precisam saber sua localização em tempo integral. Um leitor de QR code, por exemplo, dificilmente tem motivo real para isso. Trocar a permissão de “sempre” para “somente ao usar o app”, ou simplesmente revogar o acesso de apps que não dependem disso para funcionar, já reduz bastante a exposição enquanto o setor não resolve esse buraco estrutural.