Яндекс шпионит за нами? Похоже, что да

Исследователи из IMDEA Networks (Сетевой институт IMDEA), Radboud University (университет Радбауда ) и KU Leuven (Лёвенский католический университет) внезапно обнаружили, что популярные приложения Яндекса (например, Карты, Навигатор, Браузер и Поиск), потихоньку слушают локальные порты на смартфонах. Зачем? Чтобы связать данные из браузера (вроде того, какие сайты вы посещаете) с вашей личностью — без всякого согласия.

Сценарий такой: вы заходите на сайт с Яндекс Метрикой. Браузер в инкогнито? Неважно. У вас установлено одно из «шпионящих» приложений? Тогда оно незаметно общается с сайтом через ваш же телефон, объединяя данные и отправляя их далее.

По мнению экспериментаторов Яндекс работает крайне эффективно: тихо слушает порты, ловит данные с сайтов и обогащает их рекламными ID вашего устройства. Особо пикантно то, как Яндекс это делает: их приложения ждут несколько дней после установки, прежде чем активировать слежку — вероятно, чтобы не быть замеченными во время проверок. А ещё динамически подгружают настройки прослушивания прямо с серверов. Вирусы тоже так делают.

Как долго это продолжается?

Предполагается, что Яндекс осуществляет слежение за пользователями ещё с 2017 года. Количество сайтов, на которых работает Яндекс Метрика — около 3 миллионов. Всё это касается только Android. Владельцы iPhone могут немного выдохнуть.

Пользователи даже не догадывались, что их отслеживают через такое окно. Эта дыра в безопасности не была учтена ни Android, ни браузерами. По сути, любое приложение, имеющее разрешение на выход интернет (а таких большинство), может поднять веб-сервер на вашем устройстве и слушать трафик из браузера. Платформы просто не предполагали, что кто-то будет использовать это в таких масштабах.

Как противодействовать слежке?

Пока что самый надёжный способ — не устанавливать приложения, которые этим занимаются. Исследование также показывает, что Яндекс не сообщал веб-разработчикам, что их трекеры делают такие штуки. Многие владельцы сайтов узнали об этом только тогда, когда скрипты вдруг начали стучаться в локальные порты.

Ирония в том, что никакой утечки в классическом понимании нет. Просто компании используют особенности Android и веб-браузеров на полную катушку. Технически — всё в рамках разрешений. Этически? Ну, мягко говоря, спорно.

Как говорится, если вы не платите за продукт — скорее всего, продуктом являетесь вы. Даже если вы в режиме инкогнито.