Мобильные приложения. Одно приложение — десятки невидимых гостей

Ты скачиваешь приложение. Одно. Простое. Допустим фонарик или погода. Но внутри этого приложения живут другие программы которые ты не скачивал и о которых тебя никто не спрашивал.

Это называется SDK — Software Development Kit. Набор инструментов который разработчик встраивает в своё приложение. Удобно для него. Незаметно для тебя.

Как это работает

• Разработчик создаёт приложение. Чтобы добавить аналитику — встраивает SDK от Google Firebase. Чтобы показывать рекламу — SDK от Meta Audience Network. Чтобы отслеживать установки — SDK от AppsFlyer. Чтобы анализировать поведение — SDK от Amplitude.
• Одно приложение. Четыре невидимых гостя внутри. Каждый со своими серверами, своей политикой данных, своими интересами.

Среднестатистическое мобильное приложение содержит от 10 до 30 SDK одновременно. Популярные приложения — до 50.

Что эти SDK собирают

• Каждый SDK имеет доступ ко всем разрешениям которые ты дал основному приложению.
• Дал приложению погоды доступ к геолокации — все 15 SDK внутри него тоже получили твою геолокацию.
• Дал доступ к контактам — все SDK видят твою телефонную книгу.
• Дал доступ к микрофону — все SDK потенциально могут его использовать.
• Ты давал разрешение одному приложению. Получили десятки компаний.

Самые распространённые SDK и кому они принадлежат

• Google Firebase — аналитика, крэш-репорты, push-уведомления. Установлен в миллиардах приложений. Всё что происходит в приложении уходит на серверы Google.
• Meta SDK — рекламная сеть Facebook и Instagram. Даже если ты не пользуешься Facebook — Meta получает данные о твоём поведении через приложения где установлен их SDK.
• AppsFlyer / Adjust — отслеживание маркетинговых кампаний. Знают откуда ты пришёл, что установил, сколько времени провёл.
• Yandex AppMetrica — российский аналог Firebase. Установлен в большинстве российских приложений. Данные уходят на серверы Яндекса.
• AppTracer — именно этот SDK был зафиксирован в приложении ВКонтакте. Не упомянут в Privacy Policy VK. Собирает данные об устройстве и сессиях и отправляет на внешние серверы без уведомления пользователя. Это задокументировано в технических логах и приложено к официальной жалобе в AKI.

Почему разработчики это делают

• Деньги. Простой ответ.

Рекламные SDK платят разработчику за каждого пользователя. Чем больше данных собирает SDK — тем точнее таргетинг — тем дороже реклама — тем больше денег получает разработчик.

Бесплатное приложение не бывает бесплатным. Ты платишь данными.

Самый показательный пример

• Популярные клавиатуры для телефона — SwiftKey, Gboard, многие другие. Клавиатура видит абсолютно всё что ты печатаешь. Пароли, сообщения, номера карт, личную переписку. Всё.

И большинство клавиатур содержат аналитические SDK которые отправляют данные о вводе на внешние серверы. Задумайся об этом в следующий раз когда будешь вводить пароль.

Что делать

• Первое — меньше приложений.

Каждое приложение это потенциально десятки SDK. Удали то чем не пользуешься. Каждое удалённое приложение — минус десять невидимых гостей.

• Второе — используй веб-версию вместо приложения.

Сайт в браузере содержит трекеры — но их легче заблокировать. Приложение на телефоне — значительно сложнее. Банк, магазин, новости — зайди через браузер.

• Третье — проверяй разрешения после установки.

Установил приложение — сразу иди в настройки и отзови всё лишнее. Оставь только то без чего приложение физически не работает.

• Четвёртое — читай не только отзывы но и политику конфиденциальности. Ищи раздел «третьи стороны» или «партнёры». Если там написано «мы можем передавать данные партнёрам для улучшения сервиса» — это означает SDK внутри приложения.
• Пятое — для Android используй NetGuard.

Это файрвол который показывает какие приложения выходят в интернет и блокирует тех кого ты не хочешь пускать. Видишь в реальном времени кто и куда отправляет данные.

Главное что нужно понять

Когда ты скачиваешь приложение — ты не просто устанавливаешь программу. Ты открываешь дверь в свой телефон для десятков компаний о которых ты никогда не слышал.

Они не спрашивают разрешения отдельно. Они заходят вместе с приложением — тихо, незаметно, навсегда пока ты не удалишь приложение.

• Одно приложение. Десятки гостей. Твой телефон. Твой выбор.