To ukryta metoda, dzięki której Meta śledzi twoją aktywność w sieci bez pozwolenia

Zespół badaczy ujawnił, iż od września 2024 roku Facebook i Instagram korzystały z systemu pozwalającego śledzić aktywność online użytkowników Androida – bez ich wiedzy.

Günes Acar, profesor Uniwersytetu Radboud w Holandii i specjalista od prywatności w sieci, natrafił na podejrzane połączenie z jego komputerem, gdy przeglądał witrynę swojej uczelni. Zdziwiony odkryciem obecności Facebook Trackera, zaczął szukać informacji w sieci. Na forach programistów znalazł podobne zgłoszenia – użytkownicy zgłaszali ten sam problem, a później informowali, iż śledzenie zniknęło. Jak jednak mówi Acar, „to nie dlatego, iż Meta zrezygnowała z tej praktyki – po prostu wdrożyli nową, jeszcze trudniejszą do wykrycia metodę”.

W celu pogłębienia dochodzenia Acar nawiązał współpracę z Narseo Valliną-Rodríguezem, badaczem z Imdea Networks i ekspertem w dziedzinie bezpieczeństwa aplikacji mobilnych. Wspólnie przeanalizowali sposób, w jaki Instagram i Facebook łączą dane o użytkownikach z ich aktywnością w przeglądarkach – choćby w trybie incognito i przy użyciu VPN. Szczegółowy opis ich metod badawczych jest dostępny na stronie projektu.

Jak mówi Vallina-Rodríguez, strony internetowe wymieniały dane i identyfikatory bezpośrednio z aplikacjami mobilnymi. To oznaczało, iż aplikacje Meta wykorzystywały lokalne połączenia do deanonimizacji ruchu sieciowego – proces, który był aktywowany tylko w określonych okolicznościach, co znacznie utrudniało jego wykrycie.

Dopiero po pytaniach mediów, w tym hiszpańskiego dziennika El País, Meta tymczasowo wyłączyła funkcję. Przedstawiciel firmy wyjaśnił, iż prowadzone są rozmowy z Google w celu „rozwiązania nieporozumienia dotyczącego zasad platformy”. Google przyznało, iż zachowanie Meta naruszało ich polityki prywatności i podjęło działania naprawcze, jednocześnie rozpoczynając własne dochodzenie.

Mozilla również pracuje nad zabezpieczeniami chroniącymi użytkowników Firefoksa na Androidzie. Fundacja uznała, iż działania Meta naruszają ich zasady przeciwdziałania śledzeniu i ostrzegła, iż także inne aplikacje, jak rosyjski Yandex, wykorzystują podobne techniki.

Według Acar sytuacja jest poważna: „Tym razem Meta posunęła się za daleko. choćby doświadczeni specjaliści od prywatności byli zaskoczeni”.

Meta miała rozpocząć stosowanie tej technologii w odpowiedzi na zmiany w polityce Google dotyczące ograniczania plików cookie – m.in. w ramach projektu Privacy Sandbox. Vallina-Rodríguez przyznaje, iż to prawdopodobne, choć nie ma jednoznacznych dowodów.

Okazuje się, iż Yandex stosował podobne metody już od 2017 roku. Początkowa wersja rozwiązania Meta była zbliżona – wykorzystywano połączenia lokalne z urządzeniem użytkownika. Później jednak Meta zmieniła technologię na bardziej zaawansowaną i mniej wykrywalną.

Warunkiem działania tego mechanizmu było zalogowanie się do Facebooka lub Instagrama na urządzeniu z Androidem i obecność Meta Pixel – fragmentu kodu używanego do śledzenia użytkowników na około 20% najpopularniejszych stron internetowych, również dla dorosłych. Po wejściu na taką stronę uruchamiał się proces tworzenia ciasteczka (cookie), które było następnie powiązywane z tożsamością użytkownika i przesyłane do serwerów Meta.