Les données de localisation de smartphone peuvent être utilisées pour identifier et suivre n’importe qui

À tout moment, un individu peut savoir où vous êtes, ou bien où vous avez été, et il pourrait même savoir où vous avez l’intention d’aller.

Une initiative du gouvernement ? De Google ? Des agences de publicité ? Ou peut-être de Facebook, qui récemment a été interpellé par les sénateurs américains qui pensent que l’entreprise suit la localisation des utilisateurs de smartphones malgré avoir promis de ne pas le faire ?

Bien que ces derniers puissent effectivement suivre votre géolocalisation, selon le New York Times Privacy Project, ce sont des entités dont personne n’a entendu parler auparavant qui devraient peut-être nous inquiéter le plus.

A priori, les chercheurs le savent très bien car plus tôt cette année, le Privacy Project du NYT a mis la main sur une importante série de données qui lui avait été transmise par des sources anonymes provenant d’une “société spécialisée en données de localisation“.

Les données contenaient 50 milliards de pings de localisation générés par les smartphones de 12 millions d’Américains dans des villes comme New York, Washington, San Francisco et Los Angeles en 2016 et 2017.

Cette découverte semble est une première. À ce jour, l’ensemble des connaissances en matière de collecte et d’utilisation de données de localisation est basé sur les capacités technologiques et les déductions faites à partir des modèles commerciaux des entreprises concernées.

La recherche nous montre l’envers du décor en apportant de nouveaux éléments. Pour mieux comprendre il suffit d’observer les visuels, générés par le NYT, qui permettent d’explorer les schémas plus profonds que ces derniers ont permis de révéler.

Par exemple, la carte des activités montrant un “haut responsable du Département de la Défense et son épouse” lors de leur participation à la Marche des Femmes en 2017.

Dans un autre exemple, les chercheurs ont pu choisir un smartphone de manière aléatoire, repéré dans Central Park, et suivre l’historique complet des mouvements du propriétaire à travers New York, et ce sur une période pouvant aller jusqu’à deux ans.

Suivre les déplacements des responsables de la défense, des policiers et des avocats ? Aucun problème. Ils ont même retracé les pings des smartphones d’employés à l’intérieur du Pentagone.

Une recherche a fait apparaître plus d’une douzaine de personnes en train de visiter le Manoir Playboy, certaines même la nuit. Sans grand effort, nous avons repéré des visiteurs dans les domaines de Johnny Depp, Tiger Woods et Arnold Schwarzenegger, connectant en continu les propriétaires des appareils aux résidences en question.

Dites bonjour !

Le premier point à retenir est que très peu de gens se rendent compte des informations qui peuvent être déduites au sujet d’un utilisateur lambda, comme notamment des utilisateurs qui pourraient intéresser des pirates, lesquels décideraient simplement de suivre la localisation de leur smartphone dans le temps.

Le second point est que ces données de localisation ne semblent pas aussi anonymes que le prétendent les entreprises. En effet, si de telles preuves sont entre les mains d’un grand nombre d’utilisateurs de smartphones, alors on pourrait même conclure que la défense de l’anonymat se situe quelque part entre la fuite de données et le mensonge pur et simple.

L’entreprise dont les données ont été étudiées n’est pas nommée, mais le NYT propose une liste d’entreprises qui, selon lui, ont leurs données de localisation dans le même secteur. Les données sont collectées à l’aide du GPS, mais également via d’autres sources telles que les balises Bluetooth (petits capteurs cachés dans les magasins et les centres commerciaux) et, probablement, le Wi-Fi et la proximité d’une antenne-relais de téléphonie mobile.

Certaines entreprises disent qu’elles ne vendent pas de données, mais comme il existe très peu de réglementation pour empêcher de telles pratiques au-delà des politiques de confidentialité, certaines personnes partent du principe qu’il est impossible d’en être sûr, les données sont collectées de manière privée et, aux États-Unis du moins, cette propriété est véritablement privée.

À moins d’éteindre un smartphone durant de longues périodes ou bien de ne pas en avoir un du tout, il est probablement impossible d’arrêter tout suivi, même en utilisant les fonctionnalités fournies par les systèmes d’exploitation mobiles.

De même, la désactivation du GPS, du Wi-Fi, des données mobiles, du Bluetooth et du NFC risquent de rendre un smartphone bien moins pratique et intéressant à utiliser.

Mais avant que les utilisateurs n’atteignent ce stade, ils doivent avoir conscience que les données de localisation sont devenues l’enjeu majeur qui pourrait bien retenir l’attention des experts en protection de la vie privée les 10 prochaines années.

Billet inspiré de Smartphone location data can be used to identify and track anyone, sur Sophos nakedsecurity.