AccuWeather, en dan specifiek de app op iOS, deelt locatiegegevens van zijn gebruikers met derde partijen, ook als die daar geen toestemming voor hebben gegeven.
De weer-app AccuWeather blijkt locatiegegevens van zijn gebruikers aan derden te verkopen. Enkele van die gegevens worden bovendien netjes doorgesluisd, zelfs nadat gebruikers door middel van een ‘opt out’ hebben aangegeven dat ze dat niet willen.
Dat is aan het licht gekomen uit onderzoek van security blogger Will Strafach. In een blogpost legt hij uit hoe AccuWeather op iOS niet alleen gps-gegevens bijhoudt, maar ook gedetailleerde info verzamelt over de wifi-router waarmee het toestel connecteert. Het gaat over netwerkinformatie van de router, samen met het BSSID (het MAC-adres van de router, zegt maar). Die info wordt vervolgens doorgestuurd naar een bedrijf Reveal Mobile. Dat gebeurt zelfs nadat gebruikers aangeven dat ze geen gps-informatie willen delen. De app aanziet wifi-info namelijk niet als ‘gps-coördinaten’, hoewel de combinatie van een routernaam en een BSSID ook vrij makkelijk te herleiden is tot een nauwkeurige locatie.
Ontvanger van al die gegevens is Reveal Mobile, een ‘data monetizing’ bedrijf dat zich richt op marketeers en adverteerders. Het houdt bij hoe mensen zich in het dagelijkse leven bewegen en probeert ‘doelgroepen’ te identificeren door uit te vissen waar iemand woont, werkt en winkelt.
In een reeks mededelingen meldde AccuWeather eerst dat het ‘privacy ernstig neemt’ en dat het geen wetten breekt. De meest recente mededeling, die samen met Reveal Mobile werd uitgegeven, meldt dat AccuWeather een SDK (software development kit) van Reveal in zijn app heeft gestopt, en dat die verantwoordelijk is voor het datageslurp. AccuWeather voegt er het volgende aan toe: “Als een gebruiker locatiegegevens uitzet in AccuWeather, worden geen gps-coördinaten meer verzameld of doorgegeven zonder verdere opt-in goedkeuring van de gebruiker.” Spijtig genoeg zegt dat bijzonder weinig over de routergegevens die werden bijgehouden. AccuWeather meldt verder dat het zich niet bewust was van de mogelijkheid om netwerkinformatie te verzamelen en dat het die data nooit heeft gebruikt, maar dat zegt dan weer niets over hoe Reveal met dat alles omgaat. De SDK is voorlopig uit de app gehaald en zal terug worden geïnstalleerd ‘als alle nodige maatregelen zijn genomen’.
De weerapp van AccuWeather is best populair, met miljoenen gebruikers op Apple en Android. Na het schandaal van Unroll.me, een gratis mail-app die informatie aan Uber bleek te verkopen, is het wel weer een nieuw voorbeeld van gratis apps die hun geld verdienen met het verzamelen van gegevens. Voor gebruikers die privacy hoog in het vaandel dragen is ‘gratis’ meestal niet de beste oplossing.
Fout opgemerkt of meer nieuws? Meld het hier