你手机里的广告，正在暴露你的位置

你打开一个天气 App 查明天要不要带伞，几百毫秒里后台已经把你的大概位置连同设备 ID 发给几十家广告买方。这些请求会被留档，攒成海量位置流水，再被数据商打包卖出去。Bloomberg 最新一篇报道说，美国警方正在把这条广告链路当监控工具用。

警方买数据，绕开了搜查令

2022 年美联社那篇调查挖出了 Fog Data Science 这家公司，产品叫 Fog Reveal。它给执法机构一个后台，里面是大约 2.5 亿台设备的广告标识位置记录，按年订阅，价格从几千到上万美元。警员在地图上画一个圈，选一段时间，就能拉出所有在这个范围内出现过的设备。有案子的被告就是这么被锁定的。

这事离谱的地方在法律定性。位置数据来自商业渠道，不是运营商记录，所以不适用 Carpenter 判例那条「长期追踪位置需要搜查令」的规则。数据商还在合同里写明自己不是消费报告机构，避开《公平信用报告法》。绕两道弯，实际上绕开了第四修正案的约束。

监管这两年才开始动手。FTC 在 2024 年 1 月和 X-Mode、Outlogic 达成和解，第一次明确禁止一家公司出售敏感位置数据；年底又对 Kochava 出了类似决定。参议员 Wyden 早在 2021 年就写信质询过 FTC 和警方，2023 年又追问国防部有没有买这类数据。

Bloomberg 这篇说的就是热门 App 里的广告竞价直接成了警方的工具。原文的个案细节我没能打开核对，涉及哪些警局、多少设备、多长的时间跨度，都得看原文。但这条链路的公开证据，已经够多了。

对写 App 的人来讲，这事还有很直接的一层。你引入一个广告 SDK，可能就给出去了一条位置数据出口。用户协议里那句「我们可能向第三方合作伙伴提供设备信息用于广告投放」，背后连着这么长一条链。

技术上堵住不难，把 RTB 请求里的精确坐标降级成城市级别，或者干脆不放。难的是没人有动力，因为精准位置直接换成 eCPM。

灵犀点评

这套玩法最刺眼的地方在于，它不需要任何新的监控技术，把广告行业现成的管道拧个方向就行。用户在 App 里点「同意」，以为是换免费服务，实际上签的是一份自己看不懂的监控授权。FTC 那几笔和解罚的是数据商，管道还在，换个壳继续跑。