Встроенный в приложения F******k и I*******m браузер добавляет код слежения на все страницы

Браузер, встроенный в мобильные приложения Facebook* и Instagram*, при открытии ссылок из соцсетей добавляет на все страницы код JavaScript, позволяющий владеющей сервисами компании Meta* отслеживать действия пользователей на этих страницах. Об этом сообщил Феликс Краузе (Felix Krause), эксперт по кибербезопасности и бывший инженер Google.

Источник изображения: Tumisu / pixabay.com

При попытке перехода по внешним ссылкам из приложений Facebook* и Instagram* соответствующие веб-страницы открываются во встроенном в приложение браузере, который контролируется Meta*, а не в том, что выбрал пользователь. На каждую открываемую через встроенный браузер страницу без ведома пользователя добавляется код, помогающий отслеживать все его действия: нажатия кнопок и ссылок, выделение текста, создание снимков экрана, а также данные, которые вводятся в формы, включая пароли, адреса и номера банковских карт.

Господин Краузе выявил проблему, когда разработал инструмент, отслеживающий любые изменения кода сайта, вносимые браузером. Этот инструмент не указал ни на что подозрительное при испытаниях на большинстве браузеров и приложений, но в случае Facebook* и Instagram* обнаруживаются 18 строк кода и подключение внешнего JS-файла, посредством которого в Meta* создаётся профиль интересов для каждого пользователя.

В самой компании отрицать подобную модификацию веб-страниц не стали, но отметили, что пользователи могут отказаться от отслеживания своих действий, а собираемая информация используется для работы с целевой рекламой: сбора данных перед её показом или анализа поведенческих факторов после переходов, чтобы оценить конверсию. Схожие возможности предлагает аналитический инструмент Meta* Pixel, однако его код устанавливается владельцами сайтов добровольно. При этом подчёркивается, что браузер, встроенный в мессенджер WhatsApp, открываемых страниц не модифицирует.

И если у пользователей соцсетей не получается защититься от подобной слежки своими силами, господин Краузе предлагает способ, который позволит владельцам сайтов защитить посетителей своих ресурсов. В код страницы рекомендуется добавить пару HTML-тегов с определёнными значениями атрибутов id, а также несколько строк JavaScript — это заставляет встроенные в приложения Meta* браузеры «думать», что код слежения уже присутствует на странице.

* Внесена в перечень общественных объединений и религиозных организаций, в отношении которых судом принято вступившее в законную силу решение о ликвидации или запрете деятельности по основаниям, предусмотренным Федеральным законом от 25.07.2002 № 114-ФЗ «О противодействии экстремистской деятельности».

Источник: