Soixante millions de téléchargements cumulés pour deux applications Android, QR Scanner et GPS Speedometer, qui transmettaient les coordonnées GPS de leurs utilisateurs à un réseau publicitaire sans que personne, ni l’utilisateur ni le développeur, n’en ait été dûment informé. L’Electronic Frontier Foundation (EFF) a publié fin juillet 2026 les résultats d’une enquête qui dissèque un mécanisme aussi banal que redoutable dans l’écosystème Android.
Le principe tient en quelques lignes de code. Lorsqu’un développeur intègre un kit de développement publicitaire (SDK) dans son application pour la monétiser, ce module hérite automatiquement des permissions accordées par l’utilisateur à l’application hôte. Android ne prévoit aucune permission spécifique aux SDK embarqués. Conséquence mécanique : si l’utilisateur autorise l’accès à sa position pour consulter la météo ou suivre un itinéraire, le SDK publicitaire greffé dans l’application peut, lui aussi, aspirer cette même donnée de localisation et l’injecter dans les enchères publicitaires en temps réel (le fameux « real-time bidding »). Tout cela sans notification supplémentaire, sans consentement distinct, sans même que le développeur ait activé quoi que ce soit.
Quatre SDK ont été spécifiquement épinglés par l’EFF, chacun partageant un trait commun : la collecte de la localisation y est activée par défaut. InMobi, qui revendique plus de deux milliards d’utilisateurs dans 150 pays, recommande ouvertement aux développeurs de conserver le partage de position activé en soulignant que « les impressions enrichies par la localisation génèrent généralement des revenus plus élevés ». BidMachine, dont le SDK touche 600 millions d’utilisateurs directs, affirmait dans sa documentation ne collecter que des données de localisation approximatives… jusqu’à ce que l’analyse réseau de l’EFF démontre le contraire, forçant l’entreprise à corriger ses pages après avoir été contactée. Verve (anciennement Pubnative), présent dans plus de 10 000 applications, active le suivi de position par défaut tout en affirmant sur le Google Play Store que son SDK « ne collecte pas ces informations de manière indépendante ». Huawei, enfin, avec son Petal Ads SDK déployé dans 85 000 applications, met en avant les gains financiers liés au partage de localisation avant même d’indiquer aux développeurs comment le désactiver.
Bill Budington, technologue principal à l’EFF, a souligné que ces quatre SDK ne représentent qu’une fraction de l’écosystème publicitaire mobile et atteignent pourtant, à eux seuls, des milliards d’utilisateurs répartis sur des dizaines de milliers d’applications. L’ampleur du phénomène dépasse donc largement les cas documentés dans le rapport.
La donnée de localisation, une fois captée, emprunte un circuit bien rodé. Les enchères publicitaires diffusent les informations des utilisateurs à des milliers d’annonceurs potentiels, parmi lesquels des courtiers en données de localisation participent non pas pour acheter de l’espace publicitaire, mais pour collecter les coordonnées contenues dans les requêtes d’enchères. Ces courtiers revendent ensuite les historiques de déplacements à des clients variés, dont des agences de renseignement comme le FBI, des services d’immigration (ICE aux États-Unis), voire des outils de surveillance à l’échelle mondiale. L’EFF rappelle que ces données ont déjà servi à identifier un prêtre en raison de son orientation sexuelle, à pister des organisateurs syndicaux et à suivre du personnel militaire américain. Le piratage en 2025 du courtier Gravy Analytics avait d’ailleurs révélé des milliers d’applications potentiellement sources de ses données, dont les développeurs ignoraient tout de cette relation.
Ni QR Scanner ni GPS Speedometer n’affichaient de notification préalable au partage de la localisation avec BidMachine, et aucune des deux applications ne mentionnait la transmission de données de localisation à des tiers dans sa section « Sécurité des données » sur le Google Play Store. Qui, parmi les 60 millions d’utilisateurs concernés, aurait pu deviner que scanner un code QR revenait à alimenter un pipeline de surveillance géographique ?
L’EFF formule des recommandations à trois niveaux. Les développeurs doivent auditer chaque SDK intégré et désactiver toute collecte superflue. Les régulateurs doivent cesser de sanctionner uniquement les développeurs et examiner les entreprises dont les SDK organisent structurellement le partage invasif de données. Les législateurs doivent enfin combler le vide juridique autour des permissions Android, qui ne distinguent pas l’application de ses composants tiers. « Les SDK publicitaires ne devraient pas faire du partage de données personnelles le réglage par défaut, en particulier pour une donnée aussi sensible que la localisation d’une personne », écrit l’organisation dans son rapport.
En attendant, les utilisateurs Android disposent d’un levier immédiat dans les paramètres de leur téléphone, sous « Localisation » puis « Autorisations des applications », où chaque application peut être individuellement privée d’accès à la position. Une opération manuelle, fastidieuse, qui revient à demander au passant de colmater lui-même la fuite d’un barrage.
