Przejdź do treści

Agencje wywiadowcze inwigilują telefony przez system reklam. Webloc śledzi do 500 mln urządzeń

Adam Marzec
Karta wpisu o systemie Webloc: tytuł WEBLOC z kropkowaną linią do białej karty DO 500 MLN URZĄDZEŃ, obok kart AGENCJE WYWIADOWCZE i DANE Z AUKCJI REKLAMOWYCH, orange pieczątka RESEARCH, odczyt 14.11.2026

5 listopada Bloomberg opublikował śledztwo o systemie Webloc, a 12 listopada Citizen Lab dopisał do niego własną notę z listą nowych krajów. Chodzi o geolokalizacyjny system inwigilacji, który kupuje dane z ekosystemu reklamowego i według dokumentów ma dostęp do strumienia rekordów z maksymalnie 500 mln urządzeń mobilnych. Jego użytkownik może przeglądać lokalizację, ruch i cechy całych populacji do trzech lat wstecz. Nie testowaliśmy tego na własnym telefonie: artykuł opiera się na raporcie Citizen Lab z 9 kwietnia, jego stanowisku z 12 listopada i śledztwie Bloomberg, a wszystkie odczyty pochodzą z 14 listopada.

Poniżej znajdziesz mechanikę, czyli w jaki sposób dane z aplikacji na telefonie trafiają do rąk służb, listę potwierdzonych klientów, rozliczenie firmy, która to sprzedaje, oraz sekcję o Polsce. Na końcu to, co realnie może zrobić użytkownik i gdzie są granice tych kroków.

Najważniejsze informacje

CoSzczegóły
SystemWebloc: geolokalizacyjna inwigilacja na danych z aplikacji i aukcji reklamowych; deweloper Cobwebs Technologies, sprzedawca Penlink (fuzja 2023)
Skalastrumień rekordów z maksymalnie 500 mln urządzeń, aktualizowany na bieżąco
Wgląd w przeszłośćlokalizacja, ruch i cechy całych populacji do 3 lat wstecz
Potwierdzeni klienciwęgierski wywiad domowy (od co najmniej 2022), policja Salwadoru (2021), ICE i agencje USA, MSW Austrii
Klienci wg śledztwa BloombergWielka Brytania, Holandia, Niemcy, Meksyk, Singapur, Arabia Saudyjska, ZEA, Izrael (5.11.2026)
Polskanie figuruje na listach klientów; serwery powiązane z Cobwebs wykryto m.in. w Polsce, ale bez pewności, czy to klienci
Źródła ustaleńraport Citizen Lab (9.04.2026), stanowisko Citizen Lab (12.11.2026), śledztwo Bloomberg (5.11.2026)

Jak Webloc dostaje dane z aukcji reklamowych

Rdzeń systemu to dane, których nikt nie musi wykradać. W każdą aukcję reklamową, czyli licytację wyświetlenia reklamy, wpisują się dziesiątki albo setki firm, a cała procedura trwa krócej niż sekundę. W trakcie aukcji dane użytkownika trafiają do uczestników bez zabezpieczeń, więc dostawca inwigilacji może je kupić od brokera danych albo samemu wziąć udział w licytacjach. Citizen Lab policzył to tak: dane przeciętnego Europejczyka są rozgłaszane nieznanej liczbie stron kilkaset razy dziennie.

Drugie źródło danych to SDK, czyli biblioteki trackerów wbudowane w aplikacje. Śledztwo Bloomberg wymienia aplikacje pogodowe, gry, pocztowe i religijne jako powszechne nośniki danych o lokalizacji. Rekordy w strumieniu Webloc zawierają identyfikatory urządzeń, współrzędne i dane profilowe, a klienci systemu mogą cofać się do trzech lat w historii. Citizen Lab opisał możliwości systemu na podstawie dokumentów z lat 2021-2025, więc to nie jednorazowa wizja jednej oferty, a kilkuletnia obecność na rynku.

Ten rynek nie powstał wczoraj. W lutym 2020 Wall Street Journal opisał, że amerykańska agencja ICE kupuje dostęp do danych o lokalizacji z gier i aplikacji pogodowych, uzyskanych przez firmę marketingową. Na takie praktyki branża wymyśliła nazwę ADINT, od advertising intelligence, i sama ją zaproponowała, nie badacze.

Kto kupuje Webloc

Najtwardsze potwierdzenie z Europy pochodzi od węgierskiego wywiadu domowego: Citizen Lab we współpracy z dziennikarzem Szabolcsem Panyim i platformą VSquare pokazał, że Węgry używają Webloc od co najmniej 2022 i nadal w chwili publikacji raportu. To pierwsze potwierdzone użycie systemu inwigilacji na danych reklamowych w Europie. Policja narodowa Salwadoru kupiła system w 2021, a od kwietnia dołącza też potwierdzone Ministerstwo Spraw Wewnętrznych Austrii.

Lista amerykańska jest długa i sięga poziomu lokalnego: ICE, wojsko, stanowy DHS Wirginii Zachodniej, Texas Department of Public Safety, prokuratury dzielnicowe w Nowym Jorku oraz policje w Los Angeles, Dallas, Baltimore, Durham i Tucson, plus mniejsze jednostki, jak Elk Grove czy hrabstwo Pinal. W marcu 2026 72 senatorów i reprezentantów zażądało śledztwa w sprawie zakupów danych o lokalizacji Amerykanów bez nakazu. Badacz Citizen Lab Wolfie Christl ujął to wprost: „to potężne narzędzie masowej inwigilacji, które sączy się z wojska i agencji wywiadowczych do federalnej policji, a następnie do policji stanowych i lokalnych”.

Śledztwo Bloomberg z 5 listopada wskazało kolejnych klientów: w Wielkiej Brytanii, Holandii, Niemczech, Meksyku, Singapurze, Arabii Saudyjskiej, ZEA i Izraelu. Mapy widoczne w dokumentach systemu pokazują śledzenie ludzi w Niemczech, Austrii, Włoszech, na Węgrzech, w Rumunii, ZEA, Izraelu, Singapurze i Rosji. Równolegle Citizen Lab wysłał 96 wniosków o dostęp do informacji do agencji z 14 krajów i 6 organów UE. Europol potwierdził, że posiada informacje o Webloc, i odmówił ich ujawnienia. Home Office i szwedzka policja nie potwierdziły ani nie zaprzeczyły, ministerstwa w Austrii, Holandii i Rumunii odmówiły odpowiedzi, a 39 brytyjskich komend policji odpowiedziało tym samym „ani tak, ani nie”.

Kto stoi za Weblocem

Sprzedawcą jest Penlink, firma z Nebraski, która w 2023 połączyła się z izraelskim startupem Cobwebs Technologies, deweloperem Webloc. Założyciel Cobwebs, Omri Timianker, kieruje dziś operacjami międzynarodowymi Penlink i utrzymuje pośredni udział w Quadream, firmie od spyware, której narzędzie Citizen Lab wcześniej uchwycił na telefonach aktywistów, dziennikarzy i polityków opozycji. To ważny wątek, bo łączy komercyjny rynek danych reklamowych ze światem klasycznego spyware.

Historia firmy ma już kartotekę. Meta w raporcie o branży „surveillance for hire” z 2021 wykluczyła Cobwebs ze swoich platform, opisując konta klientów stosujących socjotechnikę, żeby wywabić od ludzi informacje, często wymierzone w aktywistów i polityków opozycji. Cobwebs odrzucił tamten raport jako fałszywy. Wewnętrzny raport DHS pokazuje z kolei, że agencja używała systemu Tangles do budowania teczek na protestujących. Obok Webloc w portfolio były jeszcze Lynx (zarządzanie fałszywymi kontami, używany w USA i Salwadorze) oraz Trapdoor, opisany w dokumentacji jako „social engineering platform”: tworzenie fałszywych stron i wysyłka linków phishingowych, z możliwością dołożenia malware.

Penlink zareagował na raport jedną frazą: opisuje on, według firmy, „produkty, które już nie istnieją”. Bez wskazania, o które chodzi. Citizen Lab odpowiada, że jego analiza opiera się na dokumentach z 2021, 2022, 2023 i 2025, a śledztwo Bloomberg z tego miesiąca potwierdza kolejnych klientów, więc wygaśnięcie produktu nie równa się wygaśnięciu praktyki.

Co z tego dla Polski

Polskiej prasy o Webloc nie ma w ogóle: Google News w odczycie z 14 listopada zwraca zero notek o tym systemie. Polska nie figuruje na żadnej z opublikowanych list klientów, ani od Citizen Lab, ani od Bloomberg. Pojawia się jednak jeden polski trop: analiza infrastruktury technicznej wskazuje serwery powiązane z Cobwebs między innymi w Polsce, a raport uczciwie dodaje, że nie wiadomo, czy tamte serwery oznaczają klientów w tych krajach.

Sama mechanika dotyczy nas bez pośredników. Dane przeciętnego Europejczyka, więc też Polaka, są rozgłaszane w aukcjach reklamowych kilkaset razy dziennie, i to jest ten sam strumień, z którego mogą czerpać służby. Prawność takich zakupów w Europie Citizen Lab określa jako wysoce kontrowersyjną, a badanie fundacji Interface z 16 czerwca dokumentuje, że rządy europejskie coraz chętniej kupują dane komercyjne, przy słabym nadzorze. Jeśli nazwa Citizen Lab brzmi znajomo: to zespół, który wykrył ślady Pegasusa na telefonach w polskich sieciach, a sejmowe śledztwo potwierdziło nielegalne użycie spyware wobec polityków. Ten sam rynek danych reklamowych opisaliśmy zresztą z drugiej strony, przy ciasteczku __obi w ChatGPT.

Co może zrobić użytkownik

Od jednego przycisku problem nie zniknie, bo dane płyną jednocześnie z aplikacji i z aukcji RTB. Największy realny zysk daje odmowa lokalizacji w tle dla aplikacji, które jej nie potrzebują. Jeśli aplikacja pogodowa prosi o dostęp do lokalizacji w tle, to dokładnie ten rodzaj dostępu, który karmi takie systemy; wystarczy jej lokalizacja przy otwarciu albo ręcznie wpisane miasto. W Androidzie dodatkowo wyzeruj lub wyłącz Advertising ID w ustawieniach prywatności, w iOS ogranicz precise location i odpowiedz „poproś, by nie śledzić” na pytania o tracking.

Następna warstwa to kontrola nad aplikacjami. Serwis Exodus Privacy publikuje raporty o trackerach w konkretnych aplikacjach, z listą bibliotek, i nie wymaga konta. Zasada „mniej aplikacji, więcej przeglądarki” ma ograniczenia, ale w przypadku gier i drobnych narzędzi zwykle da się zastąpić appkę stroną. Na komputerze adblock oraz filtrowanie DNS ucina sporo domen trackerów; jak strony śledzą bez cookies, opisaliśmy osobno w teście fingerprintingu przeglądarki.

Trzeba jednak uczciwie zaznaczyć granice. Te kroki zawężają wyciek z aplikacji, ale nie zamykają aukcji RTB, w której dane lecą z przeglądarki i sieci reklamowej niezależnie od ustawień telefonu. Citizen Lab wprost pisze, że technologie oparte na danych reklamowych są słabo regulowane i to problem dla ustawodawcy, nie dla pojedynczego użytkownika. Realna ochrona przed takim systemem jak Webloc zaczyna się od prawa, nie od ustawień.

Źródła

Powiązane artykuły