Fuga di dati di Gravy Analytics: come proteggere i dati sulla posizione | Blog ufficiale di Kaspersky

Ogni giorno i nostri smartphone e altri dispositivi raccolgono e trasmettono enormi quantità di dati su di noi a decine, forse centinaia, di aziende terze. Tra queste rientrano anche le informazioni sulla posizione, e il mercato per tali informazioni è enorme. Naturalmente, l’acquisto e la vendita avvengono senza che noi ne siamo a conoscenza, creando oscuri rischi per la nostra privacy.

Il recente attacco informatico ai danni del broker di dati sulla posizione Gravy Analytics illustra chiaramente le potenziali problematiche di tali pratiche. Questo articolo analizza il modo in cui operano i broker di dati e cosa può succedere se le informazioni da loro raccolte vengono divulgate. Vengono forniti anche suggerimenti su cosa fare per proteggere i dati sulla posizione.

Cosa sono i broker di dati sulla posizione

I broker di dati sono aziende che raccolgono, elaborano e vendono informazioni sugli utenti. Ottengono queste informazioni da app mobili, reti pubblicitarie online, sistemi di analisi online, operatori di telecomunicazioni e una serie di altre fonti, dai dispositivi per le smart home alle automobili.

In teoria, questi dati vengono raccolti solo a fini di analisi e pubblicità mirate. In pratica, tuttavia, non ci sono spesso restrizioni al loro utilizzo e apparentemente chiunque può acquistarli. Quindi, nel mondo reale, i dati possono essere utilizzati praticamente per qualsiasi scopo. Ad esempio, un’indagine condotta lo scorso anno ha rivelato che i broker di dati commerciali, direttamente o tramite intermediari, possono addirittura fornire servizi alle agenzie di intelligence governative.

I broker di dati raccolgono tutti i tipi di informazioni sugli utenti, tra cui una delle categorie più importanti e sensibili è quella dei dati sulla posizione. Sono così richiesti, infatti, che oltre ai broker di dati più generici, esistono aziende che si concentrano specificamente su questo aspetto.

Si tratta dei broker di dati sulla posizione, organizzazioni specializzate nella raccolta e nella vendita di informazioni sulla posizione degli utenti. Uno dei protagonisti in questo segmento è la società statunitense di tracciamento della posizione Gravy Analytics, che nel 2023 si è fusa con la norvegese Unacast.

La fuga di dati di Gravy Analytics

A gennaio 2025 si è diffusa la notizia di una fuga di dati presso Gravy Analytics. Inizialmente si limitava a rapporti non ufficiali basati su un post apparso su un forum privato di hacker in lingua russa. L’autore del post ha affermato di aver hackerato Gravy Analytics e rubato i dati sulla posizione di milioni di utenti, fornendo come prova screenshot della raccolta di dati.

Poco dopo è arrivata la conferma ufficiale. Ai sensi della legge norvegese, Unacast, la società madre di Gravy Analytics, era tenuta per legge a inviare una notifica all’autorità di regolamentazione nazionale.

La dichiarazione dell’azienda ha riferito che il 4 gennaio un individuo non autorizzato ha ottenuto l’accesso all’ambiente di archiviazione cloud AWS di Gravy Analytics “attraverso una chiave di accesso sottratta indebitamente”. L’utente malintenzionato “ha ottenuto alcuni file che probabilmente contenevano dati personali”.

Analisi dei dati divulgati da Gravy Analytics

Unacast e Gravy Analytics non hanno avuto fretta di specificare quali dati avrebbero potuto essere compromessi. Tuttavia, nel giro di pochi giorni, un ricercatore indipendente specializzato in sicurezza ha pubblicato la propria analisi approfondita delle informazioni divulgate, basata su un campione di dati rubati che era riuscito a ottenere.

La fuga di dati di Gravy Analytics includeva  i dati sulla posizione degli utenti in tutto il mondo. Fonte

Si è scoperto che l’attacco informatico a Gravy Analytics aveva effettivamente divulgato un’enorme quantità di dati sulla posizione degli utenti in tutto il mondo, dalla Russia agli Stati Uniti. Il frammento analizzato dal ricercatore aveva una dimensione di 1,4 GB ed era composto da circa 30 milioni di record, raccolti per la maggior parte nei primi giorni di gennaio 2025. Nel frattempo, l’hacker ha affermato che il database rubato è di 10 TB, il che significa che potrebbe contenere potenzialmente oltre 200 miliardi di record!

Questi dati sono stati raccolti tramite app mobili e acquisiti da Gravy Analytics per essere aggregati e successivamente venduti ai clienti. Come ha dimostrato l’analisi della fuga di dati, l’elenco delle app utilizzate per raccogliere dati sulla posizione ammonta a migliaia di esse. Ad esempio, il campione studiato conteneva dati raccolti da 3455 app Android, tra cui app di incontri.

I dati sulla posizione degli utenti di Tinder con sede nel Regno Unito sono un esempio di ciò che si può scoprire nei dati divulgati da Gravy Analytics. Fonte

Tracciamento e deanonimizzazione degli utenti con i dati divulgati da Gravy Analytics

L’aspetto più spiacevole dell’attacco informatico a Gravy Analytics è che il database divulgato è collegato agli ID pubblicitari: IDFA per iOS e AAID per i dispositivi Android. In molti casi, ciò consente di tracciare i movimenti degli utenti nel tempo. Ecco, ad esempio, una mappa di tali movimenti nelle vicinanze della Casa Bianca a Washington, D.C. (ricorda che questa visualizzazione utilizza solo un piccolo campione dei dati rubati; il database completo ne contiene molti di più):

I dati divulgati da Gravy Analytics e collegati agli ID pubblicitari possono essere utilizzati per tracciare i movimenti degli utenti nel tempo. Fonte

Quel che è peggio è che alcuni dati possono essere deanonimizzati. Ad esempio, il ricercatore è stato in grado di tracciare gli spostamenti di un utente che ha visitato la rampa di lancio di Blue Origin:

Un esempio di deanonimizzazione dell’utente tramite dati sulla posizione divulgati da Gravy Analytics. Fonte

Un altro esempio: il ricercatore è riuscito a tracciare gli spostamenti di un utente dal punto di riferimento Columbus Circle a Manhattan, New York City, alla sua casa nel Tennessee, e poi a casa dei suoi genitori il giorno successivo. Basandosi esclusivamente sui dati OSINT, il ricercatore ha scoperto molto su questo individuo, tra cui il nome della madre e il fatto che il suo defunto padre era un veterano dell’aeronautica militare statunitense.

Un esempio di deanonimizzazione dell’utente tramite dati sulla posizione divulgati da Gravy Analytics. Fonte

La violazione dei dati di Gravy Analytics dimostra i gravi rischi associati al settore dei broker di dati, e in particolare ai broker di dati sulla posizione. A seguito dell’attacco informatico, un’enorme quantità di dati sulla posizione degli utenti raccolti dalle app per dispositivi mobili è divenuta di pubblico dominio.

Grazie a questi dati è possibile tracciare con un livello di precisione piuttosto elevato gli spostamenti di un gran numero di persone. E anche se il database divulgato non contiene identificatori personali diretti come nome e cognome, numeri di documento di identità, indirizzi o numeri di telefono, il collegamento agli ID pubblicitari può in molti casi portare alla deanonimizzazione. Quindi, sulla base di vari “quasi-identificatori”, è possibile stabilire l’identità di un utente, scoprire dove vive e lavora, nonché tracciare le connessioni social.

Come proteggere i dati sulla posizione?

Purtroppo, la raccolta di dati sulla posizione degli utenti è ormai una pratica così diffusa che non esiste una risposta semplice a questa domanda. E non esiste neanche un interruttore che si possa semplicemente azionare per impedire a tutte le aziende Internet del mondo di raccogliere i dati degli utenti.

Detto questo, è almeno possibile ridurre al minimo la quantità di informazioni sulla posizione che finisce nelle mani dei broker di dati. Ecco come:

• È opportuno essere severi con le app che richiedono l’accesso ai dati sulla posizione. Spesso funzionano benissimo anche senza, quindi, a meno che non ci sia una ragione impellente per cui l’app debba conoscere la posizione dell’utente, è meglio dire semplicemente di no.
• È opportuno anche configurare attentamente la privacy nelle app che hanno realmente bisogno della geolocalizzazione per funzionare. Ad esempio, consultando le nostre guide per configurare tutte le app in esecuzione più diffuse.
• È meglio non consentire alle app di tracciare la posizione in background. Quando si concedono le autorizzazioni, è opportuno selezionare sempre l’opzione “Solo durante l’utilizzo dell’app”.
• Disinstalla tutte le app che non usi più. In generale, è meglio cercare di ridurre al minimo il numero di app presenti sullo smartphone: questo ridurrà il numero di potenziali utenti desiderosi di raccogliere dati sul dispositivo.
• Se utilizzi dispositivi Apple iOS, iPadOS o tvOS, disattiva il tracciamento delle app. Ciò impedirà che i dati raccolti vengano deanonimizzati.
• Se utilizzi Android, elimina l’ID pubblicitario del dispositivo. Se questa opzione non è disponibile nella tua versione del sistema operativo, reimposta regolarmente l’ID pubblicitario.
• Installa una [soluzione di sicurezza robusta in grado di bloccare il tracciamento degli annunci in tutti i tuoi dispositivi.

Per ulteriori suggerimenti su come impedire ai broker di dati generalizzati di raccogliere informazioni sugli utenti, consulta il nostro articolo Inserzionisti che condividono i tuoi dati con… le agenzie di intelligence.