Исследователи Раскрывают: Meta и Yandex Отслеживали Идентификаторы Просмотра Android-Пользователей

Исследователи обнаружили, что Meta и российская компания Яндекс использовали свои собственные приложения для Android для отслеживания данных о просмотре пользователей без их согласия, обходя защиту конфиденциальности и безопасности. Google заявил, что расследует это злоупотребление.

Согласно отчету, обновленному во вторник и названному «Скрытый отслеживание Web-to-App через Localhost на Android», Meta и Yandex получили доступ к метаданным браузера пользователей, командам и cookies через локальные сокеты на их устройствах.

«Мы раскрываем новый метод отслеживания, разработанный Meta и Yandex, который потенциально затрагивает миллиарды пользователей Android», — говорится в документе. «Мы обнаружили, что нативные приложения Android, включая Facebook, Instagram и несколько приложений Yandex, таких как Maps и Browser, тихо слушают фиксированные локальные порты для целей отслеживания».

Технологические компании использовали метод обмена ID между веб-сайтами и приложениями — Yandex с 2017 года, а Meta с сентября 2024 года, обходя защиту, включая режим инкогнито, контроль разрешений Android и удаление кукисов. После того как исследователи поделились публикацией, Meta прекратила использование этого метода отслеживания.

Согласно Ars Technica, Google расследует этот случай и говорит, что Meta и Яндекс нарушили условия использования его маркетплейса Play.

Яндекс заявил, что функция, рассматриваемая в исследовании, не собирает личную информацию пользователей, и ее единственная цель — предоставление более персонализированного сервиса. Исследователи не согласны и подчеркивают риски использованной методологии.

«Одним из основных принципов безопасности, существующих в вебе, а также в мобильной системе, является так называемый песочницей», — сказал Нарсео Валлина-Родригес, один из исследователей, стоящих за этим открытием, в интервью Ars Technica. «Вы запускаете все в песочнице, и нет взаимодействия между различными элементами, работающими на ней. То, что позволяет этот вектор атаки, — это нарушить песочницу, существующую между мобильным контекстом и веб-контекстом. Канал, который существует, позволял Android-системе сообщать о том, что происходит в браузере, с идентификатором, работающим в мобильном приложении.»

Исследователи обнаружили злоупотребление только в Android, но упомянули, что оно может быть реализовано и на iOS.

Другие актеры также нацеливаются на пользователей Android. Несколько дней назад исследователи в области кибербезопасности раскрыли, что мошенники украли данные карт через вредоносное ПО для Android под названием SuperCard X.