WebLoc地理定位监控系统引关注：多国机构使用，数据隐私问题凸显

关键发现

WebLoc是基于消费类应用和数字广告购买数据、对数亿人进行监控的全球地理定位监控系统，由Cobwebs Technologies开发，现由Penlink销售。匈牙利国内情报机构至少从2022年起使用WebLoc，其客户还包括萨尔瓦多国家警察、美国多个政府和执法机构。欧洲和英国政府在潜在使用基于广告的监控方面极不透明。Cobwebs Technologies与间谍软件供应商Quadream有关联。WebLoc作为Tangles的附加产品出售，Tangles等产品在全球多国使用。Cobwebs的Trapdoor产品可诱使受害者透露信息并部署恶意软件。

引言

基于移动应用和数字广告日常消费数据的定向和大规模监控即“基于广告的监控技术”，缺乏监管和透明度，引发安全、隐私和公民自由问题。WebLoc近期引发公众讨论，美国ICE签订合同获取数亿人数据用于监控，2026年3月美国国会呼吁调查相关机构无授权购买美国人位置数据行为。WebLoc可访问全球多达5亿台移动设备的记录流，客户能监控人口位置等信息，数据可追溯三年。研究表明，基于广告的监控被多国军事、情报和执法机构使用。

WebLoc的客户：匈牙利、萨尔瓦多和美国

与匈牙利记者Szabolcs Panyi合作发现，匈牙利国内情报机构至少从2022年起使用WebLoc，这是欧洲首次确认使用基于广告的监控技术。萨尔瓦多国家警察于2021年购买WebLoc，美国的WebLoc客户包括军方、ICE等多个机构和地方警察局。

潜在客户

在欧洲和英国发送96份信息自由请求，许多被拒绝或未回应。欧洲刑警组织确认持有相关信息但拒绝披露，部分国家政府部门拒绝透露是否使用WebLoc。意大利威尼斯地方警察2022年举办WebLoc培训活动，以色列军方人员接受培训，荷兰经销商推广WebLoc。对荷兰、墨西哥、越南和新加坡潜在采购研究有价值，文件地图显示WebLoc曾用于跟踪多个国家人员。

服务器基础设施

技术分析绘制了与Cobwebs Technologies产品部署相关的服务器基础设施，相关服务器位于美国、英国等多个国家，不清楚是否代表当地客户。

公司分析

Cobwebs Technologies与Quadream有关联，其创始人Omri Timianker负责Penlink国际业务且间接持有Quadream股份，一位前高管和投资者也是Quadream关键投资者。Quadream间谍软件曾针对民间社会等人士，2023年试图出售资产，其以色列公司实体仍运营。

Cobwebs的产品

Cobwebs的Lynx系统在美国和萨尔瓦多应用，Trapdoor系统可创建虚假网页诱使受害者透露信息并部署恶意软件，确定了部分潜在服务器位置。不清楚Lynx和Trapdoor是否仍由Penlink销售，Penlink称报告描述“已不存在的产品”。美国国土安全部曾用Tangles为抗议者编制档案，Meta封禁Cobwebs Technologies，Cobwebs称Meta报告虚假。

研究方法

采用多方法研究设计，对在线资源进行案头审查，获取公司文件。发送96份信息自由请求确定欧洲政府使用情况，对拒绝信息提出上诉。与匈牙利记者合作确认WebLoc销售，审查部分文件。进行浏览器测试和技术研究，绘制服务器基础设施。

1. 背景

2020年2月Byron Tau报道美国政府机构为监控购买商业智能手机数据用于追踪移民。此后，美国多政府机构购买移动应用和数字广告公司数据。“广告情报”由监控行业创造，即“基于广告的监控技术”，公众对美国及其他地区供应商有一定了解，但对美国以外使用情况知之甚少。

移动应用和数字广告数据

基于广告的监控供应商从基于SDK或基于RTB的来源获取数据。基于RTB的数据源从数字广告实时竞价系统获取数据流，数据广播无安全措施，监控供应商购买或参与拍卖获取数据，欧洲公民数据常被广播。基于SDK的数据源通过嵌入应用的第三方跟踪软件获取数据，监控供应商从数据经纪人处购买。原始数据包括设备标识符等信息，基于RTB的数据源提供额外属性，基于SDK的数据源可访问应用所有数据。设备标识符用于跟踪个人，广告ID不具匿名性，基于RTB和基于SDK的监控都依赖广告ID或其他标识符，也可能利用IP地址识别。

基于广告的大规模监控

一家数据经纪人声称拥有超10亿台移动设备数据，另一家从数千个应用收集基于RTB的数据，获取基于SDK数据的数据经纪人收集人数较少，一家公司通过嵌入400个应用向美国军方销售数据。