研究：當Google默默開始追蹤你的手機如何阻止它？

【編譯樂羽嘉】

全球最受歡迎網頁瀏覽器Google Chrome準備要在追蹤方面做出重大改變，用戶可望獲得「拒絕cookie」的提示，儘管這項新保護功能有一部分需要搭配私密瀏覽模式使用。對Android手機用戶來說則有一個壞消息，那就是不管怎樣，都會被追蹤。

都柏林三一學院一項新研究警告，只要你的Android手機開機，Google就會開始透過「cookie、識別碼以及其他Google默默儲存在Android手機的數據」、透過預先安裝的預設應用程式，開始追蹤你的手機。

學者們警告，儲存任何這些數據都不需要經過使用者的同意，你也無法選擇退出。

這是第一項揭露Google預先安裝應用程式儲存的cookie及數據的研究。

即使你不打開這些應用程式（app），追蹤也會開始。三一學院的報告說，你無法選擇不要，這與Chrome瀏覽器處理cookie的政策方向背道而馳。

這些被質疑的預設應用程式，包括Google的Play商店和Play服務。這個問題的本質，與過去幾個月幾乎「偷偷安裝」在所有Android手機的SafetyCore照片掃描應用程式引發的爭議很相似，也就是透明度的問題。

壞消息是，根據三一學院研究者們的說法，不像SafetyCore，你沒辦法完全阻止Android手機的追蹤。你必須要定期停用，或是重設廣告ID，也要相當頻繁地檢查app的權限。這樣你能夠限制追蹤的發生，但沒辦法完全阻止追蹤。

如果要完全阻止追蹤，你必須要換掉作業系統，這是唯一阻止這類數據外洩的方法。

都柏林三一學院這項研究，逮到Android設備使用cookie計算廣告瀏覽和點擊次數，跟Android ID一同儲存起來，其中Android ID被視為一種「永久裝置與用戶識別碼」。有許多專家警告，應該重設或是停用這個識別碼，和那些常見的追蹤cookie。

研究團隊表示，「對於儲存任何這類cookie和其他數據，Google沒有徵求、獲得用戶的同意，也沒有陳述目的，用戶也無法選擇退出這些數據儲存行為。」

「這些數據多數都被儲存下來，即使是裝置恢復原廠設定後處於閒置狀態，沒有開啟任何Google應用程式也一樣。這些應用程式並不是為了回應用戶明確的服務要求而設置的。」

都柏林三一學院電腦系統教授雷斯（Doug Leith）告訴《愛爾蘭科技新聞》，「我們都知道，當我們造訪一個網站時，這個網站儲存廣告和追蹤cookie前必須取得我們的同意」，但是「應用程式儲存的cookie獲得的注意遠遠不如網頁的cookie，有一部分原因是更難偵測，我們早該仔細審視這些cookie。」

這份報告出爐的前幾天，Google才宣布要重新開放「裝置指紋識別」這個爭議性的決定。Google在2019年宣布停止這項服務，當時的說法是「開發者已經找到方法，透過用戶各有不同的細微資訊差異，像是使用什麼裝置、安裝什麼字體，來產生獨特的識別碼，藉此再不同網站之間追蹤一名用戶。不像cookie，用戶無法清除他們的指紋數據，因此沒辦法控制他們的資訊如何被搜集。我們認為這破壞了用戶的選擇權，是不對的」。

而Google 現在決定重新啟用裝置指紋識別，給出的理由是新的「隱私保護」科技能給我們更多可選擇性，決定手機能夠、不能夠做什麼。

都柏林三一學院的研究，深入探討了數據立法與法規的灰色地帶，儘管這項研究是科技研究，而不是法律研究。

學者們表示，Google的數據儲存行為，令人不禁懷疑是否違反歐盟電子隱私指令和GDPR數據保護法規。

這不是第一次都柏林三一學院和雷斯教授提出報告揭露Google的數據做法。

2022年，他們警告「Google Messenges和Google Dialer應用程式傳送給Google的數據，會告訴Google這些訊息或通話是何時撥打、接收的。」

「Google Dialer傳送的數據包括撥打時間和長度，甚至可以連結兩台裝置的資訊，連電話號碼也傳給Google。」

2021年，這個團隊的研究了「現代iOS和Android裝置送回給蘋果和Google伺服器的遠測流量，發現Google從Android裝置蒐集的遠測數據，比蘋果從iOS蒐集的數據多出20倍。」

值得警惕的是，「iOS和Google Android都會傳送遠測數據，儘管用戶明確選擇不要回傳數據。」

雷斯表示，做完這次研究後有通知Google這些發現，並且等到Google回應後才發表。Google只簡短地回應說，不評論法律方面的問題，並沒有承認犯下任何過錯或是做出不當聲明，也沒有回應是否打算就軟體儲存的cookie做出任何更動。

雷斯認為最新的研究對數據監管機構來說不啻一記警鐘，呼籲監管單位迅速採取行動保護Android手機用戶。

（資料來源：Forbes、TheRegister）