Mandano un sms con un link che installa qualcosa o che richiama una pagina di googleMap, ma l'utente deve avere autorizzato la posizione (in genere tutti hanno il gps acceso). Poi dipende dalla versione di Android, le versione vecchie non chiedono il permesso di accedere alla posizione.
I dati vengono inviati via internet, infatti richiede anche l'accesso a internet oltre che l'autorizzazione alla posizione.
Puoi farlo anche tu una cosa simile, mandi un link ingannevole che ti installa un App che ti localizza....