Meta и Yandex злоупотребляют функциональностью протоколов с целью тайного отслеживания пользователей — даже в приватном режиме
За последние несколько лет мы много слышали о концепции песочницы и о защите от отслеживания, которые внедрили такие крупные браузеры, как Chrome. Обещание было простым: как только эти средства защиты будут реализованы, пользователям не придётся беспокоиться о том, что за ними следят крупные технологические компании или что их история посещений сайтов напрямую идентифицировать их. Вместо этого таргетированная реклама будет основана на анонимизированных данных, которые по-прежнему будут достаточно эффективными для нужд рекламодателей — по крайней мере, в теории.
Эта идея всегда казалась нам надуманной. Мы давно утверждали, что деанонимизация этих якобы «анонимных» данных по-прежнему вполне возможна. Но что, если для этого даже не нужно было бы идти на такие меры? Что, если, несмотря на все встроенные меры защиты, платформы всё равно могли бы получить доступ к уникальным идентификаторам пользователей и надёжно привязать их к истории просмотров?
Yandex и Meta обнаружили, что могут делать именно это.
Согласно новым исследованиям, Meta (через Meta Pixel) и Yandex (через Yandex Metrica) использовали лазейку в ОС Android и поведении мобильных браузеров, чтобы деанонимизировать пользователей, связывая их данные просмотра веб-страниц с их реальными личностями в родных приложениях, таких как Facebook и Instagram.
Как они обходят средства защиты от отслеживания
Если вы хотите получить подробную техническую разбивку того, как именно работает это отслеживание, мы рекомендуем ознакомиться с оригинальным исследованием. Если вкратце, то Meta и Yandex нашли нестандартный способ передавать данные отслеживания из вашего мобильного браузера непосредственно в свои нативные приложения. Способ обхода ограничений, используемый Yandex с 2017 года и принятый Meta в несколько изменённом виде в конце 2024 года, использует возможность Android открывать каналы связи между приложениями.
Вот как это работает: когда пользователь устанавливает и запускает одно из этих приложений, даже в фоновом режиме, приложение открывает на устройстве частный канал связи, известный как localhost или loopback-порт. При использовании по назначению этот порт позволяет разработчикам просматривать и тестировать свои приложения локально перед тем, как развернуть их на реальном сервере.
Однако Meta и Yandex злоупотребили этой функцией для передачи данных отслеживания — веб-куки или других уникальных идентификаторов — из мобильных веб-браузеров, таких как Firefox и браузеры на базе Chromium, в свои приложения для Android — Facebook, Instagram и различные сервисы Yandex.
Когда пользователь посещает сайт, на котором встроены скрипты Meta Pixel или Yandex Metrica (трекеры, которые можно найти на миллионах сайтов), эти скрипты используют стандартные функции браузера — HTTP-запросы, WebSockets или WebRTC — для отправки данных (включая отслеживающие файлы cookie) непосредственно на эти открытые локальные порты. Затем установленное на устройстве приложение получает эту информацию и может связать её с аккаунтом пользователя, вошедшего в приложение. После установления соединения приложения отправляют эти объединённые данные (поведение браузера + идентификационные данные пользователя) обратно на серверы Meta или Yandex.
В результате Meta и Yandex удаётся обойти песочницу браузера, режим инкогнито и контроль разрешений Android. Это даёт им возможность незаметно деанонимизировать пользователей и отслеживать их действия в интернете, даже если пользователи считают, что защищены «режимом инкогнито».
Они всё ещё это делают?
По словам исследователей, Meta прекратила эту практику. С 3 июня 2025 года её скрипт отслеживания Meta Pixel (ранее Facebook Pixel) больше не отправлял пакеты или запросы на localhost. В заявлении для Ars Technica Meta сообщила: «Узнав об опасениях, мы решили приостановить работу этой функции, пока мы с Google работаем над решением этой проблемы».
Yandex, со своей стороны, также заявил, что прекращает эту практику, добавив, что данная функция не была предназначена для сбора какой-либо конфиденциальной информации и «использовалась исключительно для улучшения персонализации в наших приложениях».
Google ответил, что такая практика «явно» нарушает его принципы безопасности и конфиденциальности и не соответствует условиям предоставления услуг. Компания также заявила, что начинает расследование по факту неправомерного использования возможностей браузера.
Как защитить себя?
Очевидно, что встроенные средства защиты Android и те, которые встроены в основные браузеры, такие как Chrome и Firefox, на этот раз подвели своих пользователей. Однако пользователи менее популярных и более ориентированных на безопасность и конфиденциальность нишевых браузеров, таких как DuckDuckGo и Brave, оказались в гораздо более выгодном положении. Это связано с тем, что эти браузеры оснащены встроенными средствами защиты от отслеживания, которые с самого начала блокируют запросы на отслеживание или предотвращают передачу идентификаторов.
AdGuard работает по тому же принципу: если у вас включён Фильтр счётчиков и систем аналитики, он блокирует Meta Pixel, Yandex Metrica и другие скрипты отслеживания уже на входе — включая те, которые пытаются использовать этот трюк с localhost. Так что в данном конкретном случае, если у вас включён этот фильтр, вам не о чем беспокоиться.
Тем не менее, этот пример показывает, как далеко компании готовы зайти, чтобы обойти защиту на уровне браузера и ОС — и это настоящая проблема. Если такая техника станет более распространённой, она может превратиться в серьёзную угрозу конфиденциальности пользователей во всех сферах. Поэтому, хотя на данный момент вы в безопасности, мы уже думаем о более общем и долгосрочном решении, которое позволит полностью покончить с этими злоупотреблениями.
