Meta* и Яндекс отслеживала пользователей Android через трекеры

Исследователи выявили, что аналитические скрипты Meta Pixel и Yandex Metrica позволяют компаниям деанонимизировать пользователей Android, связывая их историю веб-посещений с личными аккаунтами в мобильных приложениях. Это стало возможным за счет скрытой передачи уникальных идентификаторов с веб-сайтов через локальные порты Android в приложения Facebook**, Instagram** и «Яндекса», сообщает интернет-издание Ars Technica со ссылкой на данные команды исследователей из IMDEA Networks, Университета Радбоуда и KU Leuven.

«Этот вектор атаки позволяет разрушить песочницу, которая существует между мобильным и веб-контекстом. Канал, который существует, позволяет системе Android сообщать о том, что происходит в браузере, идентификатору [пользователя], запущенному в мобильном приложении (приложении Meta* или «Яндекса» — прим. редакция)», — пояснил один из исследователей IMDEA Networks Нарсео Валлина-Родригес.

По информации издания, Meta* использует этот механизм с сентября 2023 года, а «Яндекс» — с 2017 года. С помощью встроенных трекеров компании принудительно связывают временные веб-идентификаторы (_fbp cookie и другие) с пользовательскими аккаунтами, даже если браузер работает в режиме инкогнито. Это происходит без ведома пользователей и веб-сайтов, на которых размещены эти скрипты. Всего Meta Pixel установлен на 5,8 млн сайтов, а Yandex Metrica — на 3 млн.

По данным Ars Technica, Google уже признала такую практику нарушением политики конфиденциальности Play Marketplace и заявила о начале расследования. Представители Mozilla также сообщили, что рассматривают инцидент как серьезное нарушение защиты пользователей. В свою очередь, Meta* приостановила работу спорной функции, а «Яндекс» сообщил о прекращении ее использования.

Несмотря на то, что некоторые браузеры, такие как DuckDuckGo, Brave и Vivaldi, уже внедрили механизмы блокировки доступа к локальным портам, исследователи предупредили: из-за гибкости JavaScript эти меры можно легко обойти. По их мнению, единственным надежным способом защиты является ограничение доступа к локальным портам на уровне самой операционной системы (ОС) Android, встроенная система уведомлений о таких соединениях или вообще не устанавливать приложения Meta* и «Яндекс» на Android, так как именно приложения и связывают пользователя с куками.

Напомним, ранее «Яндекс» за 2024 год получил от государственных органов 77 979 запросов на предоставление персональных данных пользователей и удовлетворил 74% из них — 57 434, что стало рекордом по числу раскрытых данных за всю историю публикации отчетов о прозрачности компании.

* признана экстремистской организацией и запрещена в РФ

** принадлежат Meta, запрещены в РФ

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.

Комментарии 0

Зарегистрируйтесь или , чтобы оставлять комментарии.