あなたのFacebookアプリは、あなたを追跡しないように言われた後でもあなたを追跡し続けるかもしれません
- セキュリティ研究者は、iOS 上の Facebook アプリと Instagram アプリの両方が、アプリ内ブラウザーでリンクを開くときにカスタム コードを挿入することを実証しました。
- このコードは Apple のプライバシー保護を回避し、サードパーティの Web サイトでの追跡にも使用される可能性があります。
- 他のセキュリティ専門家は、アプリ内ブラウザの使用を避けることを提案し、Apple がこの回避策を無効にするための措置を講じることを期待しています.
ブーンチャイ・ウェドマカワンド/ゲッティイメージズ
新しい調査によると、ほとんどのアプリはスマートフォンの既定の Web ブラウザーを使用してリンクを開くことはなく、オペレーティング システムのセキュリティおよびプライバシー機能を回避する可能性があります。
セキュリティ研究者の Felix Krause は、iOS 上の Meta の Instagram および Facebook アプリが サードパーティの Web サイトに JavaScript コードを追加する アプリのカスタムアプリ内ブラウザを使用してそれらにアクセスしたとき。 アプリ内ブラウザーを使用すると、ユーザーはアプリを離れることなく Web サイトにアクセスできます。 挿入されたコードにより、アプリは iOS をバイパスして、外部 Web サイトとのやり取りをすべて追跡できる可能性があります アプリの追跡の透明性 (ATT) 特徴。 Apple は、第三者によって生成されたデータを追跡する前に、アプリ開発者に人々の同意を得るように強制するために、ATT を追加しました。
「Instagramの回避策は驚くべきことではありません」 リオル・ヤーリ、サイバーセキュリティスタートアップのCEO兼共同創設者 グリップセキュリティ、ライフワイヤーにメールで語った。 「アップルの制限は会社のビジネスモデルの中核を脅かすものであり、生き残るために適応することが問題でした。」
痛いところを打つ
メタは、 ATT機能には年間約100億ドルの費用がかかりました 広告収入で。
Krause 氏は調査中に、Facebook および Instagram アプリの iOS ユーザーがこれらのソーシャル ネットワーク内のリンクをクリックすると、それらがアプリ内ブラウザーで開かれることを発見しました。
少なくとも、機密情報や機密情報を入力するためにアプリ内ブラウザを使用するべきではありません。
彼は、アプリ内ブラウザが挿入するカスタム JavaScript コードにより、両方のアプリがすべてのデータを追跡できる可能性があると警告しました。 パスワードや アドレス。
「10 億人のアクティブな Instagram ユーザーがいるため、追跡を挿入することで Instagram が収集できるデータの量は インスタグラムやフェイスブックのアプリから開かれたすべてのサードパーティのウェブサイトへのコードは、驚異的な量です」と書いています。 クラウス。
発見は驚くことではありません ジョージ・ガーチョウ、最高セキュリティ責任者兼 IT 担当上級副社長 相撲ロジック.
ガーチョウ氏は、Lifewire とのメールで、ソーシャル メディア ネットワークには最も強力な人工知能と機械がいくつかあると述べました。 世界の学習アルゴリズムは、人々をプラットフォームにとどまらせようとする永遠の試みと組み合わせると、現実のものになります 危険。
「Apple はこのことを知っていたが、宣伝を望まなかったと強く信じている」と Gerchow 氏は述べ、「[Apple の] Safari も最も安全なブラウザではない」と付け加えた。
モモプロダクション/ゲッティイメージズ
ゲームを始めよう
Krause はコードを調べてその真の意図を理解することはできませんでしたが、アプリが ATT 制限を回避する方法を示しました。 Yaari は、これにより Apple が立ち上がり、注意を払い、アプリ内ブラウザを介した追跡を制限するための追加の制限を実装する必要があると考えています.
「これは両社が行ういたちごっこゲームの始まりであり、その結果は業界に大きな影響を与える」と Yaari 氏は語った。
トム・ガルバ、ディレクター、第三者リスク管理サービス エシェロン リスク + サイバー、Appleは、プライバシー問題への対処に関するイメージを、認識だけでなく、コーディングと展開を通じて実際に大幅に改善したように見えると考えています.
「おそらく、アプリケーション開発者が目を覚ますには、集団訴訟、悪いPR、および/またはプライバシー侵害に対する多額の罰金が必要になるでしょう。 事実]コード開発とサービス提供のすべての側面に「プライバシー・バイ・デザイン」を組み込む必要がある」と、Garrubba 氏は Lifewire に語った。 Eメール。 「大手テクノロジー企業が何もしないと、訴訟に発展するか、多額の罰金が科せられると予想しています。」
それまでの間、プライバシーを保護するために、Krause はアプリ内ブラウザを終了し、URL をコピーして貼り付けて別の外部ブラウザで開くことを提案しています.
「少なくとも、アプリ内ブラウザを使用して機密情報や機密情報を入力するべきではありません」と Yaari 氏は示唆しています。
しかし、私たちの専門家は、多くの人が実際に行動を変える可能性は低いと認識しています.
「悲しいことに、人間の 99.9% は『即座の満足』の必要性に苦しんでいるため、このステップをスキップしてデフォルトのブラウザで直接開くでしょう」と Garrubba 氏は述べています。 「これは明らかにビッグテックが望んでいることであり、彼らはおそらく彼らが望むデータを手に入れるでしょう.」