Pesquisadores Revelam que Meta e Yandex Rastrearam as Identidades de Navegação dos Usuários Android

Pesquisadores revelaram que a Meta e a empresa russa Yandex têm usado seus aplicativos nativos para Android para rastrear os dados de navegação dos usuários sem o seu consentimento, contornando proteções de privacidade e segurança. O Google afirmou que está investigando o abuso.

De acordo com o relatório, atualizado na terça-feira e intitulado “Rastreamento Oculto de Web para App via Localhost no Android”, Meta e Yandex tiveram acesso aos metadados do navegador dos usuários, comandos e cookies através de soquetes localhost em seus dispositivos.

“Revelamos um novo método de rastreamento da Meta e da Yandex que pode afetar bilhões de usuários do Android”, afirma o documento. “Descobrimos que aplicativos nativos do Android – incluindo Facebook, Instagram e vários aplicativos da Yandex, incluindo Maps e Browser – escutam silenciosamente em portas locais fixas para fins de rastreamento.”

As empresas de tecnologia têm se aproveitado do método de compartilhamento de ID de web para aplicativo – Yandex desde 2017 e Meta desde setembro de 2024 – contornando proteções, incluindo o modo anônimo, controles de permissão do Android e limpeza de cookies. Após os pesquisadores compartilharem a publicação, a Meta parou de usar o método de rastreamento.

De acordo com a Ars Technica, o Google está investigando o caso e afirmou que Meta e Yandex violaram os termos de serviço de sua loja Play.

Yandex disse que o recurso considerado na pesquisa não coleta informações pessoais dos usuários e que seu único propósito é fornecer um serviço mais personalizado. Os pesquisadores discordam e destacam os riscos da metodologia utilizada.

“Um dos princípios fundamentais de segurança que existe na web, assim como no sistema móvel, é chamado de sandboxing”, disse Narseo Vallina-Rodriguez, um dos pesquisadores por trás da descoberta, em uma entrevista com a Ars Technica. “Você executa tudo em um sandbox, e não há interação entre diferentes elementos que estão sendo executados nele. O que esse vetor de ataque permite é quebrar o sandbox que existe entre o contexto móvel e o contexto da web. O canal que existe permitiu ao sistema Android comunicar o que acontece no navegador com a identidade que está sendo executada no aplicativo móvel.”

Os pesquisadores notaram o abuso apenas no Android, mas mencionaram que também poderia ser implementado no iOS.

Outros atores também têm visado usuários do Android. Alguns dias atrás, pesquisadores de cibersegurança revelaram que golpistas têm roubado dados de cartões através de um malware para Android chamado SuperCard X.