Встроенный в приложения Facebook✴ и Instagram✴ браузер добавляет код слежения на все страницы

Браузер, встроенный в мобильные приложения Facebook✴ и Instagram✴, при открытии ссылок из соцсетей добавляет на все страницы код JavaScript, позволяющий владеющей сервисами компании Meta✴ отслеживать действия пользователей на этих страницах. Об этом сообщил Феликс Краузе (Felix Krause), эксперт по кибербезопасности и бывший инженер Google.

Источник изображения: Tumisu / pixabay.com

При попытке перехода по внешним ссылкам из приложений Facebook✴ и Instagram✴ соответствующие веб-страницы открываются во встроенном в приложение браузере, который контролируется Meta✴, а не в том, что выбрал пользователь. На каждую открываемую через встроенный браузер страницу без ведома пользователя добавляется код, помогающий отслеживать все его действия: нажатия кнопок и ссылок, выделение текста, создание снимков экрана, а также данные, которые вводятся в формы, включая пароли, адреса и номера банковских карт.

Господин Краузе выявил проблему, когда разработал инструмент, отслеживающий любые изменения кода сайта, вносимые браузером. Этот инструмент не указал ни на что подозрительное при испытаниях на большинстве браузеров и приложений, но в случае Facebook✴ и Instagram✴ обнаруживаются 18 строк кода и подключение внешнего JS-файла, посредством которого в Meta✴ создаётся профиль интересов для каждого пользователя.

В самой компании отрицать подобную модификацию веб-страниц не стали, но отметили, что пользователи могут отказаться от отслеживания своих действий, а собираемая информация используется для работы с целевой рекламой: сбора данных перед её показом или анализа поведенческих факторов после переходов, чтобы оценить конверсию. Схожие возможности предлагает аналитический инструмент Meta✴ Pixel, однако его код устанавливается владельцами сайтов добровольно. При этом подчёркивается, что браузер, встроенный в мессенджер WhatsApp, открываемых страниц не модифицирует.

И если у пользователей соцсетей не получается защититься от подобной слежки своими силами, господин Краузе предлагает способ, который позволит владельцам сайтов защитить посетителей своих ресурсов. В код страницы рекомендуется добавить пару HTML-тегов с определёнными значениями атрибутов id, а также несколько строк JavaScript — это заставляет встроенные в приложения Meta✴ браузеры «думать», что код слежения уже присутствует на странице.