Meta ve Yandex’ten dev ihlal: Android kullanıcılarını aylarca gizlice izlemişler

Araştırmacılar, ihlalin şu an sadece Android platformunda gerçekleştiğini ancak iOS kullanıcılarının da benzer bir riske maruz kalabileceğini belirtti. İhlalin kaynağı olarak Meta Pixel ve Yandex Metrica adlı reklam ve analiz araçları gösteriliyor.

İHLAL NASIL GERÇEKLEŞTİ?

Meta Pixel ve Yandex Metrica, reklamverenlerin reklam etkinliklerini ölçmek için tasarlanmış analiz araçları. Ancak IMDEA’nın raporuna göre, bu araçlar Android cihazlarda kullanıcıların kimlik bilgilerini “localhost” üzerinden gizlice kendi uygulamalarına aktardı. Böylece tarayıcıların güvenlik bariyerleri aşılmış oldu.

Normalde uygulamalar arasında veri izolasyonu sağlayan “sandbox” güvenlik sistemi bu süreçte atlatıldı. Bu sayede Chrome gibi tarayıcılardaki kullanıcı hareketleri, Facebook, Instagram ve Yandex uygulamalarına bağlanarak gerçek hesaplarla eşleştirildi.

İHLALİN ADIMLARI

Kullanıcı Android cihazda Facebook veya Yandex uygulamasında oturum açıyor.

Tarayıcıda gezinirken, Meta Pixel veya Yandex Metrica kullanıcı davranışlarını arka planda izliyor.

Ziyaret edilen siteler, aramalar ve okunan içerikler uygulamalardaki hesaplarla ilişkilendiriliyor.

Bu takip gizli modda bile devam ediyor ve kullanıcıdan herhangi bir izin veya uyarı alınmıyor.

ANONİMLİK YANILSAMASI

Gizli sekme ve çerez temizleme gibi yöntemlerle anonim kalmaya çalışan kullanıcıların verileri, Android uygulamaları aracılığıyla açıkça sızdırılıyor. Meta ve Yandex, tarayıcıda silinen bilgileri uygulamalarına aktarmak suretiyle kullanıcıların kimliklerini gizleyememesine neden oluyor.

GOOGLE’DAN RESMİ TEPKİ

Google’dan yapılan açıklamada, bu uygulamaların Play Store hizmet şartları ve kullanıcı gizliliği kurallarını ihlal ettiği belirtildi. Meta ve Yandex ise uygulamaların devre dışı bırakıldığını ve konuyla ilgili soruşturmaların başlatıldığını duyurdu.