מטא ויאנדקס חושפות זהות גולשים באמצעות קוד מעקב באנדרואיד

המלחמה על הפרטיות שלנו מתחוללת כל הזמן, אולם מטריד לגלות שלפעמים אנחנו מפסידים ואפילו לא יודעים את זה.

בשבוע האחרון נודע כי קוד מעקב שמוטמע במיליוני אתרים על ידי מטא ויאנדקס הרוסית חושף את זהות הגולשים תוך ניצול לרעה של פרוטוקולים לגיטימיים באינטרנט. הקוד גורם לדפדפנים כמו כרום לשלוח בחשאי מזהים ייחודיים לאפליקציות מותקנות במכשיר. גוגל בודקת את הנושא. למעשה, הקוד מאפשר למטא וליאנדקס להפוך מזהים זמניים מהדפדפן לכאלה שמאפשרים לזהות ספציפית את המשתמש.

המנגנון הסמוי, שמוטמע ב-Meta Pixel וב-Yandex Metrica, מאפשר לחברות לעקוף את מנגנוני האבטחה והפרטיות הבסיסיים של מערכת ההפעלה אנדרואיד ושל הדפדפנים שיש בה. למשל, מנגנון ה-sandboxing של אנדרואיד מבודד תהליכים זה מזה כדי למנוע גישה לנתונים רגישים או למשאבי מערכת. גם הדפדפנים המרכזיים משתמשים בהפרדת נתוני אחסון בין אתרים שונים כדי למנוע מאתר אחד לגשת למידע של אתר אחר. הקוד הזה פשוט שובר את המחיצות ומפר את פרטיות הגולשים.

המעקף – שיישומו החל ביאנדקס כבר ב-2017 ובמטא מספטמבר האחרון – מאפשר לחברות להעביר קוקיז ומזהים מדפדפני פיירפוקס וכרומיום לאפליקציות המקבילות באנדרואיד, כמו פייסבוק, אינסטגרם ואפליקציות של יאנדקס. כך הן יכולות לשייך את היסטוריית הגלישה של המשתמש לחשבון שאליו הוא מחובר באפליקציה. נכון לעכשיו, המעקב זוהה רק במכשירי אנדרואיד, ונראה שהמעקב מכוון רק למשתמשי אנדרואיד. עם זאת, החוקרים מציינים שייתכן כי ניתן ליישם מנגנון דומה גם ב-iOS.

Meta Pixel ו-Yandex Metrica הם סקריפטים אנליטיים שנועדו לעזור למפרסמים למדוד את יעילות הקמפיינים שלהם. ההערכה היא ש-Meta Pixel מותקן בכ-5.8 מיליון אתרים ו-Yandex Metrica בכ-3 מיליון.

איך עובד המנגנון?

מטא החלה להשתמש במנגנון הזה בספטמבר 2024, כאשר שלחה בקשות HTTP דרך יציאה 12387 בפרוטוקול TCP לכתובת localhost. בהמשך עברה להשתמש ב־WebSocket באותה יציאה. כדי לעקוף חסימות חדשות של גוגל בכרום, מטא עברה לטכניקה מתקדמת יותר – שימוש בפרוטוקול WebRTC, תוך הטמעת מזהה המשתמש בתוך ה־SDP (Session Description Protocol), תהליך שמכונה "SDP munging". כלומר, מזהה המעקב משולב בתוך הודעת ההתחברות של WebRTC, ונשלח דרך רשת פנימית לכתובת מקומית. אפליקציית פייסבוק או אינסטגרם שמאזינה בפורט הזה יכולה לקלוט את המזהה, לזהות את המשתמש, ולקשר את הביקור באתר לפרופיל שלו באפליקציה. מצב גלישה פרטי, ניקוי קוקיז ותוספים שמאפשרים הפרדה ביוזרים בדפדפנים – כל אלו הופכים לחסרי תועלת כאשר ה-JS שולח ישירות את המזהה מקומי, והאפליקציה מריץ אותו ומקשרת לפלטפורמה של משתמש ספציפי. יאנדקס משתמשת בטכניקה דומה כבר משנת 2017.

לא ברור אם מעקב בין הדפדפן לאפליקציות נייטיב מפר את חוקי הפרטיות במדינות שונות. עם זאת, גם מטא וגם חברות שמשתמשות ב-Meta Pixel שלה עמדו בשנים האחרונות בפני שורה של תביעות בטענה שאיסוף המידע דרך הכלי הזה מפר תקנות פרטיות. מחקר שפורסם ב-2023 מצא כי Meta Pixel – שנקרא בזמנו Facebook Pixel – עוקב אחר מגוון רחב מאוד של פעולות משתמשים באתרי אינטרנט ואוסף מידע רב.

נכון לעכשיו, גוגל לא הצהירה על כוונה לשנות את אופן הגישה של אנדרואיד לפורטים מקומיים. לכן, ההגנה המקיפה ביותר מפני המעקב של Meta Pixel ו-Yandex Metrica היא פשוט להימנע מהתקנת אפליקציות כמו פייסבוק, אינסטגרם או יאנדקס על מכשירי אנדרואיד.

לאחר שהעניין נחשף, מטא השהתה את המעקב, אם כי לא הגיבה לסיפור באופן רשמי.