Meta and Yandex Disclosure: Covert Web-to-App Tracking via Localhost on Android
9 months ago
- #Android
- #privacy
- #tracking
- Meta和Yandex通过Android本地主机套接字追踪用户，将网页浏览数据与原生应用标识符关联。
- 该追踪手段可绕过隐身模式、清除Cookie及Android权限等隐私保护措施。
- Meta的Pixel脚本通过WebRTC向监听特定UDP端口的Facebook/Instagram应用发送_fbp Cookie。
- Yandex Metrica脚本向本地主机端口发送HTTP/HTTPS请求，收集设备ID并与网页活动关联。
- 两种方法均未经用户同意即可运作，甚至在未设置Cookie同意表单的网站上亦然。
- 恶意应用可通过监听Meta和Yandex使用的相同本地端口窃取用户浏览记录。
- Meta Pixel已嵌入超过580万个网站，Yandex Metrica覆盖近300万个站点。
- Chrome、Firefox和Brave等浏览器已实施或正在开发防御机制应对此类追踪。
- Meta和Yandex均未公开相关技术文档，引发透明度质疑。
- 目前该追踪仅影响全球Android用户，尚未发现iOS等其他平台存在类似滥用行为。