Denúncia: Meta e Yandex exploram falha no Android para monitorar dados de usuários

Recentemente, uma pesquisa divulgada por pesquisadores de instituições europeias revelou uma prática inquietante envolvendo a Meta e a Yandex. Ambas as empresas utilizaram uma falha no sistema operacional Android para rastrear usuários sem o seu conhecimento. Mesmo com as proteções do sistema, como o modo anônimo, esses aplicativos encontraram maneiras de contornar as medidas de segurança. A descoberta levanta sérias questões sobre a privacidade dos usuários e o controle das informações que circulam online.

O estudo foi realizado pelo Instituto IMDEA Networks, na Espanha, e pela Universidade Radboud, na Holanda. Eles descobriram que a Meta e a Yandex exploraram uma falha na interface “localhost” do Android, uma conexão normalmente utilizada para testes entre desenvolvedores de aplicativos. Ao utilizar essa falha, os aplicativos podiam enviar dados de navegação de usuários diretamente para seus servidores, sem a necessidade de autorização explícita ou permissão adicional.

A falha foi identificada em diversas versões do Android, o que significa que não há uma proteção universal para os usuários. O risco é maior porque o JavaScript executado em sites também pode se conectar ao localhost. Com isso, as empresas envolvidas conseguiam obter dados como cookies e identificadores únicos dos usuários, coletando informações de navegação mesmo quando os usuários estavam usando modos de navegação anônima.

O impacto da falha no Android

A falha no Android que permitiu a exploração por parte da Meta e da Yandex afeta não apenas os aplicativos nativos como o Facebook e o Instagram, mas também os sites que utilizam ferramentas de rastreamento, como o Meta Pixel e o Yandex Metrica. Estas ferramentas são amplamente utilizadas para coletar dados de tráfego de usuários e personalizar anúncios. Com o uso dessa falha, os dados do navegador eram enviados diretamente para os aplicativos, sem que o usuário soubesse ou consentisse. Isso criou um canal secreto entre o navegador e o aplicativo, o que facilitou o monitoramento cruzado entre a navegação na web e os aplicativos.

A pesquisa revelou que os scripts utilizados pelo Meta Pixel estão presentes em mais de 5,8 milhões de sites, e os scripts do Yandex Metrica aparecem em quase 3 milhões. Isso significa que, sem saber, os usuários estavam sendo monitorados em uma enorme quantidade de páginas da web. A descoberta é alarmante, pois as medidas comuns de segurança, como o uso de navegadores no modo anônimo, não impediram esse tipo de coleta de dados.

A coleta de dados dessa forma não era fácil de bloquear. Mesmo com o uso de bloqueadores de anúncios ou recursos nativos de segurança, os usuários não conseguiam impedir completamente esse rastreamento. O uso contínuo desses métodos de coleta pode ser visto como uma ameaça à privacidade dos usuários e desafia os controles de segurança que o Android deveria oferecer.

Reações das empresas e medidas de segurança

Após a divulgação da pesquisa, a Meta respondeu desativando a função que permitia o envio dos dados através do código “cookie _fbp”. A empresa afirmou que estava em negociações com o Google para resolver a falha, que foi descrita como uma falha de comunicação. O Google, por sua vez, já implementou bloqueios parciais no navegador Chrome para impedir esse tipo de rastreamento, e navegadores alternativos como Brave e DuckDuckGo adotaram medidas semelhantes.

A Yandex, por sua vez, afirmou que o recurso em questão não coleta informações sensíveis, alegando que ele tinha como único objetivo melhorar a personalização dentro de seus aplicativos. Contudo, essa explicação não impede que o esquema de rastreamento tenha gerado preocupações em relação ao uso indevido dos dados dos usuários, principalmente quando se leva em conta a quantidade de informações que estavam sendo coletadas de forma cruzada.

No iPhone, a pesquisa não encontrou evidências de exploração semelhante. No entanto, os pesquisadores alertaram que algo similar seria tecnicamente possível, dado que os navegadores no iOS também permitem conexões localhost. Essa descoberta foi importante para destacar que, embora o problema tenha sido identificado no Android, ele poderia afetar outros sistemas operacionais caso métodos semelhantes fossem aplicados.

Fonte: Tudocelular e Tecnoblog.

O post Denúncia: Meta e Yandex exploram falha no Android para monitorar dados de usuários apareceu primeiro em Carro.Blog.Br.