Centinaia di milioni di smartphone spiati attraverso le app: scoperto il sistema Webloc
Centinaia di milioni di smartphone possono essere seguiti attraverso i dati raccolti da normali applicazioni, senza che sia necessario installare un programma spia sul telefono. Al centro dell’inchiesta c’è Webloc, una piattaforma di geolocalizzazione commercializzata dall’azienda statunitense Penlink e sviluppata originariamente dalla società israeliana Cobwebs Technologies. I dati provengono dall’ecosistema delle app e della pubblicità digitale: informazioni nate per offrire servizi o mostrare annunci che possono essere riutilizzate per ricostruire gli spostamenti delle persone.
Una ricerca pubblicata nell’aprile 2026 dal Citizen Lab dell’Università di Toronto descrive l’accesso, secondo documentazione esaminata dai ricercatori, a un flusso aggiornato di dati relativo fino a 500 milioni di dispositivi nel mondo. L’ampiezza effettiva e la precisione della copertura attuale non sono state verificate indipendentemente: quel numero indica una capacità dichiarata nella documentazione, non la prova che ogni telefono venga localizzato continuamente.
Come le app possono trasformarsi in strumenti di tracciamento
Molte applicazioni per meteo, giochi e servizi quotidiani integrano componenti software di terze parti, chiamati SDK, che possono raccogliere informazioni sulla posizione quando l’utente concede le relative autorizzazioni. Un’altra possibile fonte è il sistema delle aste pubblicitarie in tempo reale, noto come real-time bidding, nel quale i dati associati a un dispositivo circolano per scegliere quali annunci mostrare.
Queste informazioni possono finire presso intermediari commerciali, i cosiddetti data broker, ed essere successivamente vendute a società che sviluppano strumenti investigativi. Webloc si inserisce in questo mercato: non ha necessariamente bisogno di entrare nel sistema operativo del telefono, perché può elaborare dati già raccolti da altri soggetti.
Non significa che ogni app meteo o ogni videogioco partecipi a questo sistema. Non esiste un elenco verificato di tutte le applicazioni coinvolte e le fonti di dati possono cambiare nel tempo. Penlink sostiene di acquistare informazioni da fornitori che ottengono il consenso degli utenti attraverso gli SDK e filtrano i luoghi sensibili; Citizen Lab contesta che le garanzie descritte siano sufficienti a dissipare le preoccupazioni per la sorveglianza di massa.
Una mappa per ricostruire dove è stato uno smartphone
La piattaforma consente di interrogare grandi raccolte di coordinate geografiche associate a identificatori dei dispositivi, compresi gli ID pubblicitari. Secondo i documenti analizzati, un operatore può delimitare un’area sulla mappa, individuare i telefoni comparsi in quella zona in determinati intervalli e studiarne gli spostamenti successivi.
L’identificatore pubblicitario non è di per sé il nome del proprietario, ma la successione dei luoghi visitati può rivelare molte informazioni. Un telefono che passa regolarmente la notte in un’abitazione e il giorno in un ufficio può essere associato con relativa facilità a una persona. Visite a strutture sanitarie, luoghi di culto o incontri privati possono rendere ancora più delicata questa raccolta.
Alcuni materiali promozionali descrivono la possibilità di consultare dati storici fino a tre anni e di aggiornare i flussi di localizzazione con elevata frequenza. Citizen Lab precisa tuttavia di non poter verificare quanto siano completi e accurati i dati disponibili oggi. Non si tratta quindi di un GPS infallibile che segue ogni individuo ininterrottamente, ma di una piattaforma capace di aggregare enormi quantità di tracce.
Leggi anche:
Chi acquista Webloc e perché il caso solleva interrogativi
Tra i clienti documentati o identificati dalle inchieste figurano organismi investigativi e di sicurezza. Negli Stati Uniti, l’agenzia per l’immigrazione ICE ha acquistato licenze per Webloc e per il prodotto collegato Tangles. Secondo Citizen Lab, un contratto relativo al periodo settembre 2025-settembre 2026 prevedeva un valore massimo di circa 2,3 milioni di dollari. Le ricerche hanno individuato anche impieghi o acquisizioni da parte di strutture di sicurezza in altri paesi, fra cui l’Ungheria.
Il problema non riguarda soltanto la tecnologia, ma anche il suo inquadramento giuridico. Negli Stati Uniti, la sentenza Carpenter v. United States del 2018 ha stabilito importanti tutele per l’accesso delle autorità ai dati storici di localizzazione detenuti dagli operatori telefonici. L’acquisto di dati commerciali attraverso intermediari ha però creato una controversa zona di discussione normativa: non equivale automaticamente a un’autorizzazione legale universale a sorvegliare senza mandato. La liceità dipende dalle circostanze e dalle norme applicabili.
Penlink respinge la definizione di piattaforma di sorveglianza globale occulta e afferma che i propri strumenti sono destinati alle forze dell’ordine per attività come il contrasto alla tratta di esseri umani, la ricerca di minori rapiti e la prevenzione di minacce. I ricercatori e le organizzazioni per i diritti civili ritengono invece che la raccolta indiscriminata di informazioni commerciali su milioni di persone esponga a rischi di abusi e controlli insufficienti.
Come limitare la condivisione della posizione su Android e iPhone
Per ridurre l’esposizione conviene iniziare dai permessi concessi alle app. Su Android, apri le impostazioni dedicate a Posizione e alla gestione delle autorizzazioni: verifica quali applicazioni possono accedere alla posizione sempre o soltanto durante l’uso, e disattiva la posizione precisa quando non è necessaria. Su iPhone, controlla Impostazioni → Privacy e sicurezza → Localizzazione e rivedi i permessi per ogni applicazione.
Puoi inoltre limitare il tracciamento pubblicitario e personalizzare le impostazioni relative agli identificatori usati per gli annunci, secondo le opzioni offerte dalla tua versione di Android o iOS. Elimina le app inutilizzate e presta attenzione ai servizi che chiedono l’accesso continuo alla posizione senza una ragione evidente.
Questi accorgimenti non garantiscono di cancellare i dati già venduti né impediscono tutte le forme di localizzazione tramite rete, indirizzi IP o altre fonti. Possono però ridurre la quantità di nuove informazioni condivise dalle applicazioni. La vicenda Webloc mostra quanto la protezione della privacy dipenda non soltanto dal dispositivo, ma dall’intera filiera commerciale che gestisce i suoi dati.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.