I ricercatori rivelano che Meta e Yandex hanno monitorato le identità di navigazione degli utenti Android

I ricercatori hanno rivelato che Meta e la società russa Yandex hanno utilizzato le loro applicazioni native per Android per tracciare i dati di navigazione degli utenti senza il loro consenso, eludendo le protezioni sulla privacy e sulla sicurezza. Google ha dichiarato che sta indagando su tale abuso.

Secondo il rapporto, aggiornato martedì e intitolato “Tracciamento segreto da Web a App tramite Localhost su Android”, Meta e Yandex hanno avuto accesso ai metadati del browser degli utenti, ai comandi e ai cookie attraverso i socket localhost sui loro dispositivi.

“Sveliamo un innovativo metodo di tracciamento di Meta e Yandex che potrebbe influenzare miliardi di utenti Android”, afferma il documento. “Abbiamo scoperto che le app native Android – tra cui Facebook, Instagram e diverse app di Yandex, tra cui Maps e Browser – ascoltano silenziosamente su porte locali fisse per scopi di tracciamento.”

Le aziende tecnologiche hanno sfruttato il metodo di condivisione dell’ID web-to-app – Yandex dal 2017, e Meta dal settembre 2024 – eludendo protezioni tra cui la modalità incognito, i controlli di permesso di Android e la cancellazione dei cookie. Dopo che i ricercatori hanno condiviso la pubblicazione, Meta ha smesso di utilizzare il metodo di tracciamento.

Secondo Ars Technica, Google sta indagando sul caso e ha dichiarato che Meta e Yandex hanno violato i termini di servizio del suo Play marketplace.

Yandex ha affermato che la funzionalità considerata nella ricerca non raccoglie informazioni personali degli utenti e che il suo unico scopo è fornire un servizio più personalizzato. I ricercatori non sono d’accordo e sottolineano i rischi della metodologia utilizzata.

“Uno dei principi di sicurezza fondamentali che esiste nel web, così come nel sistema mobile, si chiama sandboxing”, ha detto Narseo Vallina-Rodriguez, uno dei ricercatori dietro la scoperta, in un’intervista con Ars Technica. “Fai funzionare tutto in una sandbox, e non c’è interazione tra diversi elementi che vi girano sopra. Ciò che questo vettore di attacco permette è di rompere la sandbox che esiste tra il contesto mobile e il contesto web. Il canale che esiste ha permesso al sistema Android di comunicare ciò che accade nel browser con l’identità in esecuzione nell’app mobile.”

I ricercatori hanno notato l’abuso solo su Android, ma hanno menzionato che potrebbe essere implementato anche su iOS.

Anche altri attori hanno preso di mira gli utenti Android. Pochi giorni fa, i ricercatori di cybersecurity hanno rivelato che gli truffatori hanno rubato i dati delle carte attraverso un malware per Android chiamato SuperCard X.