Slik spionerer Meta og Yandex på Android-brukere i det skjulte

Millioner av Android-brukere kan ha blitt systematisk overvåket i årevis – uten å vite om det. Teknologigigantene Meta og Yandex mistenkes for å ha brukt en avansert metode for å koble nettaktivitet direkte til app-ID-er, selv når brukerne trodde de var anonyme.

Kjernen i avsløringen er en teknikk som kobler nettstedskode til lokalt installerte apper på Android-enheter. Skript som Meta Pixel og Yandex Metrica bruker interne nettverksgrensesnitt (localhost) for i det skjulte å sende identifikatorer fra nettleseren videre til apper som Facebook, Instagram og Yandex Maps.

Appene kombinerer disse dataene med brukerens konto eller enhets-ID og sender dem deretter videre til selskapenes servere.

Det mest oppsiktsvekkende: Denne teknikken fungerte også i inkognitomodus, med slettede informasjonskapsler og deaktivert annonse-sporing.

I stedet for vanlige sporingscookies ble dataene omdirigert via den interne IP-adressen 127.0.0.1 – en adresse som normalt skal beskytte brukerinformasjon. Appene som overvåket denne lokale trafikken kunne likevel snappe opp og videresende dataene.

Sikkerhetseksperter hos Local Mess har avdekket at over fem millioner nettsteder bruker Meta-skript, og nesten tre millioner bruker Yandex-kode. I tusenvis av tilfeller skjedde dette uten brukernes samtykke – et klart brudd på gjeldende personvernsregler.

Google reagerte raskt: Praksisen bryter med retningslinjene for Google Play Store og Androids personvernsprinsipper.

Både Meta og Yandex har midlertidig stanset aktiviteten, men hevder det hele skyldes en misforståelse og at ingen sensitiv informasjon ble samlet inn.

Nettleserleverandører som Chrome, Firefox, Brave og DuckDuckGo har allerede svart med oppdateringer og blokkeringslister. Chrome vil fremover blokkere utnyttede porter, Brave vil som standard stenge lokal trafikk, og tillegg som uBlock Origin og AdGuard filtrerer effektivt ut de berørte domenene.

Vil du være på den sikre siden? Avinstaller eller begrens tilgangen til mistenkelige apper, deaktiver WebRTC i nettleseren din, og sørg for å holde enheten oppdatert med de nyeste sikkerhetsoppdateringene.

For så lenge Android ikke blokkerer lokale tilkoblinger fullstendig, vil risikoen fortsatt være der.