{"id":23650,"date":"2025-05-07T16:46:30","date_gmt":"2025-05-07T19:46:30","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=23650"},"modified":"2025-05-07T16:46:30","modified_gmt":"2025-05-07T19:46:30","slug":"geolocation-data-broker-leak","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/geolocation-data-broker-leak\/23650\/","title":{"rendered":"Corretoras de dados de geolocaliza\u00e7\u00e3o: o que essas empresas fazem e o que acontece quando h\u00e1 vazamentos"},"content":{"rendered":"

Os smartphones e outros dispositivos que usamos coletam e transmitem, todos os dias, quantidades enormes de dados sobre n\u00f3s para diversas empresas terceirizadas. Isso inclui nossas informa\u00e7\u00f5es de localiza\u00e7\u00e3o, e o mercado para essas informa\u00e7\u00f5es \u00e9 enorme. Naturalmente, a compra e venda dessas informa\u00e7\u00f5es ocorrem sem nosso conhecimento, gerando riscos desconhecidos \u00e0 nossa privacidade.<\/p>\n

A invas\u00e3o<\/a> recente da Gravy Analytics ilustra perfeitamente as poss\u00edveis armadilhas dessas pr\u00e1ticas. Esta postagem analisa como as corretoras de dados funcionam e o que pode acontecer caso as informa\u00e7\u00f5es coletadas vazem. Tamb\u00e9m oferecemos dicas sobre o que fazer para proteger seus dados de localiza\u00e7\u00e3o.<\/p>\n

O que s\u00e3o corretoras de dados de localiza\u00e7\u00e3o<\/h2>\n

Corretoras de dados s\u00e3o empresas que coletam, processam e vendem informa\u00e7\u00f5es sobre usu\u00e1rios. Elas obt\u00eam essas informa\u00e7\u00f5es de aplicativos m\u00f3veis, redes de an\u00fancios on-line, sistemas de an\u00e1lise on-line, operadoras de telecomunica\u00e7\u00f5es e diversas outras fontes, que podem ser desde dispositivos dom\u00e9sticos inteligentes at\u00e9 carros<\/a>.<\/p>\n

Em teoria, esses dados s\u00e3o coletados apenas para an\u00e1lises e publicidade direcionada. Mas na pr\u00e1tica, muitas vezes n\u00e3o h\u00e1 restri\u00e7\u00f5es de uso, e, aparentemente, qualquer pessoa pode compr\u00e1-los. Ent\u00e3o, no mundo real, seus dados podem ser usados para quase qualquer motivo. Por exemplo, ano passado uma investiga\u00e7\u00e3o revelou que corretoras de dados comerciais, que atuavam diretamente ou usando intermedi\u00e1rios, forneciam dados at\u00e9 mesmo para ag\u00eancias de intelig\u00eancia governamentais<\/a>.<\/p>\n

As corretoras de dados coletam todos os tipos de informa\u00e7\u00f5es do usu\u00e1rio, e os dados de localiza\u00e7\u00e3o representam uma das categorias mais importantes e sens\u00edveis. Na verdade, sua demanda \u00e9 t\u00e3o grande que existem empresas corretoras de dados especializadas apenas nesses dados.<\/p>\n

Elas s\u00e3o as corretoras de dados de localiza\u00e7\u00e3o: empresas especializadas em coletar e vender informa\u00e7\u00f5es sobre a localiza\u00e7\u00e3o do usu\u00e1rio. Uma das principais empresas do segmento \u00e9 a empresa americana de rastreamento de localiza\u00e7\u00e3o Gravy Analytics, que se fundiu<\/a> com a empresa norueguesa Unacast em 2023.<\/p>\n

O vazamento de dados da Gravy Analytics<\/h2>\n

Em janeiro de 2025, surgiram not\u00edcias de um vazamento de dados na Gravy Analytics. No in\u00edcio, os rumores se limitavam a relatos n\u00e3o oficiais<\/a> em uma publica\u00e7\u00e3o em russo em um f\u00f3rum privado de hackers. O autor da publica\u00e7\u00e3o alegou ter hackeado a Gravy Analytics e roubado os dados de localiza\u00e7\u00e3o de milh\u00f5es de usu\u00e1rios, fornecendo capturas de tela dos dados como prova.<\/p>\n

N\u00e3o demorou muito para que houvesse uma confirma\u00e7\u00e3o oficial<\/a>. De acordo com a lei norueguesa, a controladora da Gravy Analytics, a Unacast, era legalmente obrigada a notificar as autoridades reguladoras nacionais.<\/p>\n

O comunicado<\/a> da empresa informou que, em 4 de janeiro, um indiv\u00edduo n\u00e3o autorizado acessou o ambiente de armazenamento em nuvem AWS da Gravy Analytics \u201cpor meio de uma chave de acesso da qual se apropriou indevidamente\u201d. O intruso \u201cobteve determinados arquivos que poderiam conter dados pessoais\u201d.<\/p>\n

An\u00e1lise dos dados vazados da Gravy Analytics<\/h2>\n

A Unacast e a Gravy Analytics n\u00e3o tiveram pressa em especificar quais dados poderiam ter sido comprometidos. No entanto, depois de alguns dias, um pesquisador de seguran\u00e7a independente publicou sua pr\u00f3pria an\u00e1lise<\/a> aprofundada das informa\u00e7\u00f5es vazadas, tomando por base uma amostra dos dados roubados que foram disponibilizados.<\/p>\n

\"Dados<\/a>

O vazamento da Gravy Analytics incluiu dados de localiza\u00e7\u00e3o de usu\u00e1rios no mundo inteiro. Fonte<\/a><\/p><\/div>\n

Constatou-se que a invas\u00e3o da Gravy Analytics gerou um vazamento gigantesco de dados de localiza\u00e7\u00e3o de usu\u00e1rios no mundo inteiro, da R\u00fassia aos Estados Unidos. O fragmento analisado pelo pesquisador tinha 1,4 GB e consistia em cerca de 30 milh\u00f5es de registros. E a maioria desses registros foi coletada nos primeiros dias de janeiro de 2025. Enquanto isso, o hacker alegou que o banco de dados roubado tem 10 TB, o que deve representar mais de 200 bilh\u00f5es de registros!<\/p>\n

Esses dados foram coletados por aplicativos m\u00f3veis e adquiridos pela Gravy Analytics para serem reunidos e vendidos posteriormente. Como mostrou a an\u00e1lise do vazamento, a lista de aplicativos usados para coletar dados de localiza\u00e7\u00e3o chega a milhares. Por exemplo, a amostra estudada continha dados coletados de 3455 aplicativos Android<\/a>, incluindo aplicativos de namoro.<\/p>\n

\"Localiza\u00e7\u00e3o<\/a>

Os dados de localiza\u00e7\u00e3o de usu\u00e1rios do Tinder no Reino Unido s\u00e3o um exemplo dos dados vazados da Gravy Analytics. Fonte<\/a><\/p><\/div>\n

Rastreamento e desanonimiza\u00e7\u00e3o de usu\u00e1rios com os dados vazados da Gravy Analytics<\/h2>\n

O mais desagrad\u00e1vel sobre a invas\u00e3o da Gravy Analytics \u00e9 que o banco de dados vazado est\u00e1 vinculado a identificadores de publicidade: IDFA para iOS e AAID para dispositivos Android<\/a>. Em muitos casos, isso possibilita rastrear o movimento dos usu\u00e1rios ao longo do tempo. Aqui, por exemplo, h\u00e1 um mapa da movimenta\u00e7\u00e3o ao redor da Casa Branca em Washington, DC (lembre-se de que esta visualiza\u00e7\u00e3o usa apenas uma pequena amostra dos dados roubados e que o banco de dados completo cont\u00e9m muito mais):<\/p>\n

\"Rastreamento<\/a>

Os dados no vazamento da Gravy Analytics relacionados aos identificadores de publicidade podem ser usados para rastrear a movimenta\u00e7\u00e3o de usu\u00e1rios ao longo do tempo. Fonte<\/a><\/p><\/div>\n

E ainda pior, alguns dados podem ser desanonimizados. Por exemplo, o pesquisador conseguiu rastrear a movimenta\u00e7\u00e3o de um usu\u00e1rio que visitou a plataforma de lan\u00e7amento da Blue Origin:<\/p>\n

\"Primeiro<\/a>

Um exemplo de desanonimiza\u00e7\u00e3o de usu\u00e1rio usando dados de localiza\u00e7\u00e3o vazados da Gravy Analytics. Fonte<\/a><\/p><\/div>\n

Outro exemplo: o pesquisador conseguiu rastrear a movimenta\u00e7\u00e3o de um usu\u00e1rio desde o Columbus Circle, em Manhattan, Nova York, at\u00e9 sua casa, no Tennessee e, no dia seguinte, at\u00e9 a casa dos pais dele. Com base nos dados de OSINT, o pesquisador descobriu bastante sobre esse indiv\u00edduo, incluindo o nome de sua m\u00e3e e que seu falecido pai era veterano da For\u00e7a A\u00e9rea dos EUA.<\/p>\n

\"Outro<\/a>

Outro exemplo de desanonimiza\u00e7\u00e3o de usu\u00e1rios usando dados de localiza\u00e7\u00e3o vazados da Gravy Analytics. Fonte<\/a><\/p><\/div>\n

A viola\u00e7\u00e3o de dados da Gravy Analytics evidencia os s\u00e9rios riscos associados ao setor de corretagem de dados, principalmente se considerarmos os dados de localiza\u00e7\u00e3o. E como resultado da invas\u00e3o, um enorme volume de registros de localiza\u00e7\u00e3o de usu\u00e1rios coletados por aplicativos m\u00f3veis vazou para o dom\u00ednio p\u00fablico.<\/p>\n

Esses dados permitem rastrear a movimenta\u00e7\u00e3o de muitas pessoas com uma precis\u00e3o bastante alta. E, embora o banco de dados vazado n\u00e3o contenha identificadores pessoais diretos, como nomes, n\u00fameros de identifica\u00e7\u00e3o, endere\u00e7os ou n\u00fameros de telefone, a associa\u00e7\u00e3o aos identificadores de publicidade pode, em muitos casos, levar \u00e0 desanonimiza\u00e7\u00e3o. Assim, considerando os v\u00e1rios quase-identificadores, \u00e9 poss\u00edvel estabelecer a identidade de um usu\u00e1rio, descobrir onde ele mora e trabalha, bem como rastrear suas conex\u00f5es sociais.<\/p>\n

Como proteger seus dados de localiza\u00e7\u00e3o?<\/h2>\n

Infelizmente, a coleta de dados de localiza\u00e7\u00e3o de usu\u00e1rios \u00e9 uma pr\u00e1tica t\u00e3o comum hoje em dia que n\u00e3o h\u00e1 uma resposta f\u00e1cil para essa pergunta. Infelizmente, n\u00e3o h\u00e1 um bot\u00e3o que voc\u00ea possa simplesmente apertar para impedir que todas as empresas de Internet do mundo coletem seus dados.<\/p>\n

Tendo isso em mente, voc\u00ea pode pelo menos minimizar a quantidade de informa\u00e7\u00f5es sobre sua localiza\u00e7\u00e3o que s\u00e3o obtidas pelas corretoras de dados. Eis como:<\/p>\n