🔍 Слежка на уровне системы: как Meta и Яндекс используют лазейку в Android для деанонимизации миллионов пользователей

Представьте: вы чистите куки, используете режим инкогнито и отключаете рекламу — и всё равно остаетесь под колпаком. Исследователи раскрыли схему, по которой популярные Android-приложения вроде Facebook*, Instagram*, Яндекс.Браузера и Яндекс.Карт устанавливают скрытую связь с веб-страницами через... localhost.

*«Facebook/Instagram - проект Meta Platforms Inc., деятельность которой в России запрещена».

🕳️ Что в обще происходит?

📡 Сценарий довольно прост:

1⃣ Вы заходите на сайт с Meta Pixel или Яндекс.Метрикой.
2⃣ Скрипты на сайте открывают соединение через 127.0.0.1, то есть «на себя».
3⃣ Если на устройстве в фоне работает нативное приложение Facebook или Яндекс, оно прослушивает определённые порты и принимает запрос.
4⃣ Идентификаторы вроде _fbp (у Meta) или Android Advertising ID (у Яндекса) передаются обратно на сервер компании вместе с куками и другими метаданными.

💥 Результат: ваша личность может быть связана с анонимным веб-серфингом, даже в режиме инкогнито. Обычные меры защиты не помогают.

🧠 Почему это вызывает тревожность?

❌ Обходит защиту браузеров (включая инкогнито и очистку куки)
📱 Злоумышленное Android-приложение может перехватывать трафик и узнавать вашу историю просмотров
🛠 Этот метод основан на архитектуре Android: любой app с разрешением INTERNET может слушать сокеты localhost
🔎 Уже подтверждена уязвимость в Chrome, Firefox, Edge и даже частично в DuckDuckGo (Brave — не уязвим)

🕵️‍♂️ Кто это делает?

Meta (Facebook, Instagram): использует WebRTC и скрытые STUN/TURN-запросы для передачи _fbp cookie. Эти данные связываются с вашим аккаунтом через GraphQL.

Яндекс: с 2017 года активно слушает порты 127.0.0.1 и получает Android ID, UUID и прочие уникальные данные с помощью скрипта Метрики. Коммуникация идёт через HTTP/HTTPS на порты 29009, 29010, 30102, 30103.

📈 Масштаб проблемы

➖Meta Pixel встроен более чем в 5,8 млн сайтов
➖Яндекс.Метрика — почти на 3 млн сайтов
➖Даже без согласия пользователя на cookies, скрипты пытаются установить связь с localhost

⚠️ Возможные векторы атак

🧬 Деанонимизация пользователей путём склейки web ID с ID мобильного приложения
🕵️ Утечка истории браузера через перехват HTTP-заголовков Origin
🐛 Подслушивание портов злоумышленным приложением без прав root
🧩 Потенциальный обход систем безопасности песочницы и permission-модели Android

❗ Платформы должны запретить приложениям общаться с localhost по умолчанию. Пользователи должны видеть, когда сайт подключается к сокетам. Браузерам нужны системы блокировки localhost-трафика по аналогии с внешними запросами

📎 Подробный разбор читайте в статье Habr: как Meta и Яндекс следят через сокеты

Stay secure and read SecureTechTalks 📚

#SecureTechTalks #Privacy #Meta #Яндекс #Localhost #Android #Tracking #Deanon #CyberSecurity #BrowserPrivacy #AAID #FBP #Pixel #Метрика #IncognitoLeaks