Aplikasi Android Bocorkan Data Lokasi ke Pengiklan, Temuan EFF

Kamu pernah mikir, kenapa aplikasi yang cuma buat scan QR minta izin lokasi? Ternyata pertanyaan itu punya jawaban yang agak meresahkan. Menurut investigasi terbaru Electronic Frontier Foundation (EFF), sejumlah aplikasi Android bocorkan data lokasi ke pihak ketiga secara diam-diam, dan yang bikin tambah parah: ini terjadi secara default lewat SDK iklan yang tertanam di dalam aplikasi. Bukan cuma aplikasi yang “nakal”, tapi juga aplikasi yang developer-nya sendiri mungkin nggak sadar kalau data penggunanya ikut melayang ke pengiklan dan data broker.

Table of Contents

Aplikasi Android Bocorkan Data Lokasi: Temuan EFF soal SDK Iklan

EFF merilis hasil investigasi mereka akhir Juli 2026, dan langsung diliput TechCrunch pada 4 Agustus 2026. Intinya begini: banyak advertising SDK alias software development kit yang dipakai developer buat monetisasi aplikasi ternyata mengumpulkan dan membagikan lokasi pengguna secara default, selama aplikasi induknya punya izin lokasi. EFF menyorot empat SDK yang paling bermasalah: InMobi, BidMachine, Verve (HyBid), dan Huawei Petal Ads.

InMobi mengaku menjangkau lebih dari 2 miliar pengguna di 150+ negara dan merupakan SDK iklan Android paling populer ke-10. Di dokumentasinya, InMobi bahkan menyebut SDK mereka “otomatis meneruskan sinyal lokasi jika tersedia”. Verve mengklaim SDK HyBid-nya dipakai di lebih dari 10.000 aplikasi dengan 1,5 miliar pengguna, dengan pelacakan lokasi yang “aktif secara default”. Huawei Petal Ads tertanam di 85.000+ aplikasi dan menyarankan developer meminta izin lokasi demi pendapatan iklan yang lebih besar.

Kenapa Bisa Bocor? Soal Izin Lokasi dan SDK Iklan

Masalah utamanya ada di desain izin Android. Saat kamu memberi izin lokasi ke sebuah aplikasi, SDK pihak ketiga di dalam aplikasi itu otomatis mewarisi izin yang sama. EFF menegaskan, tidak ada yang namanya “izin lokasi khusus SDK”. Inilah kenapa aplikasi Android bocorkan data lokasi tanpa perlu pengaturan tambahan dari developer: sekali kamu klik “Izinkan”, data lokasi kamu bisa ikut dikirim dalam permintaan iklan tanpa ada konfirmasi lagi.

Lebih parah lagi, ada insentif finansial di baliknya. Dokumentasi SDK bilang “impresi yang diperkaya data lokasi biasanya menghasilkan pendapatan lebih tinggi”. Belum lagi sistem real-time bidding (RTB), di mana ruang iklan dilelang ke ribuan calon pengiklan dalam hitungan milidetik, dan data pengguna ikut disiarkan ke semua peserta lelang. Di sinilah data lokasi kamu bisa mampir ke tangan data broker tanpa disengaja siapa pun.

Dari Iklan ke Data Broker: Data Lokasi Dijual ke Siapa?

Ini bagian yang bikin merinding. Data lokasi yang bocor lewat SDK iklan nggak cuma dipakai buat nargetin iklan. EFF mencatat data dari industri iklan pernah dipakai untuk investigasi ICE, alat mata-mata global, melacak aktivis serikat buruh, personel militer AS, bahkan membuka identitas seorang pendeta gay. Data broker menjual pergerakan presisi miliaran orang, dan pembelinya bisa siapa saja, termasuk militer, pemerintah, dan badan intelijen seperti FBI.

Contoh nyata: tahun 2025, data broker Gravy Analytics diretas dan bocor data ribuan aplikasi. Saat jurnalis menghubungi developer aplikasi tersebut, banyak yang mengaku nggak punya hubungan atau bahkan nggak tahu soal Gravy Analytics. Artinya, developer saja bisa jadi korban kebocoran yang mereka nggak sadari.

Akurasi datanya juga nggak main-main. Izin lokasi presisi bisa memberi akses ke estimasi lokasi dalam radius sekitar 160 kaki, kadang sampai 10 kaki. Izin lokasi “kira-kira” memberikan estimasi dalam area sekitar 1,2 mil persegi. Buat konteks, data sekasar itu pun, kalau dikumpulkan terus-menerus, bisa mengungkap pola hidup kamu.

Aplikasi yang Terbukti Membocorkan Data Lokasi

EFF nggak cuma baca dokumentasi. Mereka juga menganalisis lalu lintas jaringan pakai mitmproxy dan Frida di lingkungan lab. Hasilnya, dua aplikasi terbukti mengirim koordinat lokasi presisi ke domain BidMachine: QR Scanner (diunduh lebih dari 50 juta kali) dan GPS Speedometer (lebih dari 10 juta kali). Totalnya, dua aplikasi itu sudah diunduh gabungan 60 juta kali.

Yang bikin tambah menyebalkan: kedua aplikasi itu nggak menampilkan notifikasi atau meminta persetujuan sebelum mengirim data lokasi, dan bagian “Data safety” di Google Play Store mereka juga nggak mencantumkan bahwa lokasi dibagikan ke pihak ketiga. Jadi pengguna yang sudah mengunduh aplikasi tersebut, bahkan yang sadar privasi sekalipun, nggak punya cara buat tahu.

Cara Mengurangi Risiko Bocornya Data Lokasi di Android

Meski EFF menegaskan pengguna nggak seharusnya harus membela diri sendiri, ada beberapa langkah praktis yang bisa kamu lakukan sekarang:

Buka Pengaturan > Aplikasi, lalu cek izin lokasi tiap aplikasi. Cabut izin dari aplikasi yang nggak benar-benar butuh lokasi, kayak scanner QR atau aplikasi kalkulator.
Pilih opsi lokasi “kira-kira” (approximate) daripada “presisi” (precise) kalau aplikasinya nggak butuh akurasi tinggi. Opsi ini tersedia di Android 12 ke atas.
Pakai fitur “Izinkan hanya saat aplikasi digunakan” dan batasi akses lokasi di latar belakang.
Periksa bagian Data safety di halaman Google Play Store aplikasi sebelum mengunduh. Kalau aplikasi minta izin lokasi tapi nggak jelas alasannya, curigai.
Hindari aplikasi gratisan yang penuh iklan dari developer nggak jelas. Iklan itu yang membiayai kebocoran data kamu.

Untuk developer yang kebetulan baca artikel ini: tolong cek konfigurasi SDK iklan yang kamu pakai. EFF menemukan beberapa SDK baru memperbaiki dokumentasi mereka setelah dihubungi, tapi default pengumpulan lokasinya tetap aktif. Kalau aplikasi kamu nggak butuh lokasi untuk fitur inti, matikan pengumpulannya. Jangan sampai pengguna kamu jadi korban tanpa kamu sadari.

Kesimpulan

Menurut saya, temuan EFF ini penting banget karena menggeser narasi dari “aplikasi nakal” ke “desain industri yang bermasalah”. Masalahnya bukan cuma satu-dua aplikasi, tapi cara kerja SDK iklan yang menjadikan berbagi data sebagai default. EFF bilang, izin lokasi di tingkat aplikasi nggak bisa dianggap sebagai persetujuan untuk berbagi data ke pihak ketiga. Setuju banget. Kamu nggak perlu jadi ahli privasi cuma buat tahu kalau aplikasi scan QR kamu mengirim koordinat ke pengiklan.

Selama regulasi belum ketat dan pengiklanan perilaku (behavioral advertising) masih jadi model bisnis utama, kebocoran kayak gini bakal terus terjadi. Yang bisa kita lakukan sekarang: lebih pelit kasih izin lokasi, dan lebih kritis milih aplikasi. Privasi emang butuh usaha, tapi nggak harus sesulit itu kalau ekosistemnya mulai sadar.

Aplikasi Android Bocorkan Data Lokasi ke Pengiklan: Temuan EFF soal SDK Iklan