Киберслежка через локальные порты Android: как Meta и Яндекс обходили приватность.

Пока вы верили в режим инкогнито и ставили VPN “на всякий”, кое-кто уже знал, кто вы, откуда вы, и какие у вас приложения установлены. Meta и Яндекс — не просто рекламные монстры, а, как выяснилось, ещё и мастера обхода систем приватности на Android. И делали это годами.

Исследователи из IMDEA Networks, KU Leuven и Университета Радбоуда раскрыли, как через локальные порты Android можно было деанонимизировать пользователей, даже если они чистили кэш, сбрасывали рекламный ID или включали VPN. Всё происходило на уровне устройства — то есть “инкогнито” был просто ролевой костюм для доверчивых.

Схема выглядела как сцена из технотриллера. Браузер, открывший сайт с Meta Pixel или Яндекс.Метрикой, стучался по 127.0.0.1 (локальный порт), искал живое приложение (Facebook, Instagram, Яндекс.Браузер), передавал идентификаторы, а дальше… всё связывалось с аккаунтом. Вы перешли по ссылке в Safari? Отлично, теперь знаем, какой у вас IMEI и где вы живёте.

Этот трекинг работал даже при сброшенном ID. Даже через VPN. Даже с режимом инкогнито. Анализ шёл через WebRTC, WebSocket, иногда с участием поддельных SDP. MAC-адрес, IMEI, deviceID, _fbp-cookie — всё это передавалось в приложение без вашего ведома.

Как развивалась история:

◾️В сентябре 2024 разработчики начали замечать странности — браузер пытался связываться с приложениями через localhost.
◾️В мае 2025 опубликован PoC: топовые сайты подключаются к нативным приложениям прямо из браузера.
◾️3 июня Meta экстренно отключает функционал после звонка из Google.
◾️5 июня Яндекс делает вид, что “ничего не было”, но под шумок выключает соединение — серверную инфраструктуру при этом не трогает.

Чем это грозит компаниям:

Европа не шутит. GDPR расследует кейс — штраф до 4% глобального оборота. В США FTC требует раскрытия всех собранных данных, включая несанкционированные. А в России Роскомнадзор бодро проверяет “на соответствие 152-ФЗ” — а чем ещё заниматься?

Как защититься:

Brave и DuckDuckGo уже блокируют localhost-трекинг. Отключите фоновую работу Facebook, Instagram и Яндекса — они не должны бегать в фоне. Чистите WebView — туда тоже пишется история. И, на всякий случай, проверьте сайты через Meta Pixel Helper — удивитесь, кто на вас смотрит.

Это была не уязвимость. Это был бизнес. Архитектурно встроенная возможность следить, даже если пользователь “ничего не дал”. Meta спрыгнула быстро. Яндекс — спустя день. Но сама идея, что можно отслеживать всех, всегда, в фоне, живёт в коде до сих пор.

И если сегодня Meta пошла на попятную — это не победа, это пауза. Потому что для больших платформ приватность — это не право. Это помеха для таргетинга.

Берегите свои порты. Даже 127.0.0.1 может стучать не вам.

P/S Автору будет приятно если вы накидаете 🔥

Hacker's TOYS