Um grupo de investigadores universitários descobriu que a Meta, a dona do Facebook, Instagram e WhatsApp, e a tecnológica russa Yandex contornavam as proteções de segurança no Android para seguir de forma detalhada a atividade online de milhões de pessoas, mesmo sem estarem a utilizar as aplicações respetivas dessas empresas. Após a publicação das conclusões, tanto a Meta como a Yandex assumiram a suspensão desta vigilância.
Segundo a publicação especializada ARS Technica, as duas empresas conseguiam ultrapassar as medidas de segurança e privacidade do sistema operativo desenvolvido pela Google. Numa publicação partilhada no Github, os investigadores referem que este é “um novo método” para seguir os utilizadores online. “As aplicações nativas no Android”, como o Facebook, Instagram e várias aplicações da Yandex, “recebem metadados do navegador, cookies e comandos” através de dois scripts [uma sequência de instruções] chamados Meta Pixel e Yandex Metrica, que estão “incorporados em milhares de sites”.
“Google da Rússia” vende agregador de notícias e página à rival controlada pelo Estado
Estes dois scripts de analítica permitem à Meta e à Yandex medir a eficácia de campanhas publicitárias, uma das bases de receitas destas empresas. Segundo informações citadas pela ARS Technica, o Meta Pixel está instalado em 5,8 milhões de sites e o Yandex Metrica em três milhões.
A novidade deste método é que os scripts conseguiam ligar-se aos navegadores no telemóvel dos utilizadores e “silenciosamente ligarem-se às aplicações nativas que estão no mesmo dispositivo”. Assim, as aplicações nativas “podiam aceder programaticamente aos identificadores do dispositivo”. Ou seja, as apps da Meta e da Yandex podiam ligar os dados de navegação registados no browser e as cookies para perceber por onde é que os utilizadores andavam. Os investigadores da IMDEA Networks, da Universidade de Radboud, nos Países Baixos, e da universidade KU Leuven, na Bélgica, consideram que, assim, os utilizadores eram identificados, porque conseguiam ligar as sessões de navegação ao utilizador que está ‘logado’ nas aplicações nativas. Em teoria, a Meta e a Yandex não deveriam ter acesso a essa informação.
O método “ultrapassa as típicas proteções de privacidade como limpeza de cookies, o modo de navegação em janela anónima e os controlos de permissão do Android”, concluiu o grupo de investigadores. “Pior, abre a porta a que, potencialmente, as aplicações maliciosas possam ‘espiar’ a atividade online dos utilizadores.”
Os investigadores chegaram à conclusão de que a Meta estaria a recorrer a esta prática desde setembro de 2024; já a Yandex, estaria a fazer isto pelo menos desde 2017. Narseo Vallina-Rodriguez, um dos especialistas envolvidos na descoberta, disse à ARS Technica que as empresas contornaram a prática de sandboxing, “um dos princípios de segurança fundamentais que existem na web”.
Esta técnica só foi detetada de forma empírica no Android, o sistema operativo móvel que tinha em maio uma quota de mercado de quase 72% (dados Statista). “Não há provas de abuso detetada nos navegados iOS e nas aplicações que testámos”, dizem os investigadores. “No entanto, uma partilha de dados semelhante entre navegadores iOS e aplicações nativas é tecnicamente possível.”
Meta e Yandex pararam prática. Google investiga
As conclusões da investigação feita pelos académicos foi publicada a 3 de junho. No mesmo dia, a Meta suspendeu esta atividade de recolha de informação. A Yandex também revelou à ARS Technica que cessou esta prática.
Numa nota enviada à ARS Technica, a Meta revelou que estava “em discussões com a Google para responder a uma potencial falha de comunicação no que toca às políticas de aplicações”. “Ao perceber as preocupações, decidimos fazer uma pausa na funcionalidade enquanto trabalhamos com a Google para resolver esta questão”.
Já a Yandex referiu que “cumpre rigorosamente com os parâmetros de proteção de dados e que não retira o anonimato aos dados dos utilizadores”. “A funcionalidade em questão não recolhe qualquer informação sensível e é tem como intenção apenas melhorar a personalização dentro das nossas aplicações.”
A Google afirmou que está a investigar a questão, considerando que o comportamento das empresas viola os termos e condições da loja Play e também as expectativas de privacidade dos utilizadores Android. “Os responsáveis por aplicações nesta investigação estão a usar as capacidades presentes em vários browsers no iOS e Android de maneiras não intencionais que violam de forma descarada os nossos princípios de segurança e privacidade”, disse um porta-voz da Google à ARS Technica. “Já implementámos mudanças para mitigar estas técnicas invasivas e abrimos a nossa própria investigação e estamos em contacto direto com todas as partes” envolvidas.
