Zastanawialiście się kiedyś skąd FB/Instagram wie tak dobrze jakie reklamy wam zaserwować?

Otóż Meta (czyli Facebook i Instagram) przez co najmniej 9 miesięcy śledziła użytkowników Androida w sposób, który omijał wszystkie znane zabezpieczenia prywatności – nawet jeśli korzystałeś z VPN, trybu incognito czy regularnie kasowałeś ciasteczka. I to wszystko bez twojej zgody.


Jak to działało? TL;DR


  • Gdy masz zainstalowaną aplikację Facebooka lub Instagrama i jesteś w niej zalogowany, nawet gdy jej nie używasz, działa sobie w tle i „nasłuchuje” na specjalnych wewnętrznych portach twojego telefonu (tzw. localhost).

  • Wchodzisz na dowolną stronę z tzw. Meta Pixel (jest na ok. 20% najpopularniejszych stron – od newsów po sklepy i porno), nawet w trybie incognito i z VPN.

  • Skrypt na stronie przekazuje twoje identyfikatory (np. _fbp cookie) do aplikacji Facebook/Instagram przez specjalny kanał (WebRTC), który normalnie służy do wideorozmów, ale tutaj został sprytnie wykorzystany do przesyłania danych między przeglądarką a aplikacją.

  • Aplikacja łączy te dane z twoim prawdziwym kontem i wysyła wszystko do serwerów Meta. Efekt? Facebook wie, że to właśnie ty odwiedziłeś tę konkretną stronę – nawet jeśli NIGDY nie logowałeś się tam przez przeglądarkę


A teraz leci gęste:


  • Działało nawet, jeśli byłeś w trybie incognito, na VPN, kasowałeś ciasteczka i nie korzystałeś z aplikacji w danym momencie. Foliowa czapka też nie pomagała.

  • Obchodziło zabezpieczenia Androida, które miały uniemożliwić takie „podsłuchiwanie” pomiędzy aplikacjami.

  • Brak jakiejkolwiek zgody użytkownika – nawet jeśli klikałeś „nie zgadzam się” na cookies.

  • Skala: miliardy użytkowników, dziesiątki tysięcy stron, 22% najpopularniejszych witryn na świecie.


Co Meta z tym robiła?

Zbierali te dane, by jeszcze skuteczniej dopasowywać reklamy do twoich najnowszych zainteresowań – nawet tych, o których myślałeś, że nikt się nie dowie.


Czy to już koniec?

Po ujawnieniu sprawy Meta wyłączyła ten mechanizm, a Google i Mozilla łatają przeglądarki, by nie dało się tego powtórzyć

Ale mleko się rozlało – dane już dawno trafiły tam, gdzie nie powinny.

Meta grożą rekordowe kary – nawet 32 miliardy euro za naruszenie GDPR, DSA i DMA. Takiej kumulacji co prawda jeszcze nie było, ale eksperci twierdzą: jeśli ktoś zasłużył, to właśnie oni.



#technologia #facebook #meta

Zeropartydata

Komentarze (28)

100mph

Kary? Przeciez to powinno skonczyc sie nakazami aresztowania i praktycznie likwidacja podmiotu.

AureliaNova

@100mph a to i tak dużo. W USA nawet media dostaną pieniążki, żeby tego nie nagłaśniać.

Fly_agaric

@100mph Kto ich aresztuje?

Stany nigdy ich nie wydadzą, bo sama batalia sądowa potrwałaby 20 lat, przy tej ilości prawników, jaką zatrudnia META, a Trump rozpętałby III WŚ prędzej, niż stworzyłby tak niebezpieczny dla siebie precedens. W Europie jeszcze jest klimat na walkę z takimi skuurwysyństwami, ale w Stanach wolno im coraz więcej i więcej, i nikt nawet nie próbuje egzekwować istniejących przepisów przeciwko nim.

100mph

@Fly_agaric Wiec nie robmy nic i chuj. Nie robiac nic wlasnie potwierdzamy im, ze moga robic co chca.

Fly_agaric

@100mph No ale ja o tym właśnie napisałem, że tak, nie robimy nic. I to postępuje w stronę od tolerowania, do aktywnej im pomocy.

Wielkie korpo zatrudniają armie prawników, lobbystów i kupują sobie dowolne ilości polityków. Nie ma co liczyć, że ktoś z własnej woli się za to zabierze, bo oni już w tej chwili przejmują władzę nad światem.

Mechanik_rowerowy

Jak to było?

Jeżeli coś jest za darmo to znaczy, że Ty jesteś produktem.

sierzant_armii_12_malp

@Mechanik_rowerowy Co jest produktem Arch Linuksa?

3zet

@sierzant_armii_12_malp w przypadku Linuxa o ile samo jądro jest faktycznie uwolnione to wiele komponentów userspace mimo że teoretycznie jest open source to łapy na nich trzyma IBM, na przykład wayland czy pipewire

sierzant_armii_12_malp

@3zet No dobra, w jaki niby sposóbużytkownik Waylanda, PipeWire, KDE, czy czego tam jeszcze, jest produktem?


A co z użytkownika i 7zip’a pod Windows?

pacjent44

@sierzant_armii_12_malp i RAR

Legendary_Weaponsmith

@sierzant_armii_12_malp Arch nie jest darmowy, tylko jest FOSS. Darmowość jest tylko skutkiem ubocznym. Dlatego tutaj ta zasada się nie stosuje.

sierzant_armii_12_malp

@Legendary_Weaponsmith Nie „skutkiem ubocznym”, tylko jednym z głównych filarów popularności.

Mechanik_rowerowy

@sierzant_armii_12_malp co Ty porównujesz? Chcesz powiedzieć, że takie korporacje jak meta robią coś z dobroci serca, dla większego dobra lub filantropijnie? Litości.

sierzant_armii_12_malp

@Mechanik_rowerowy A czy ja mówiłem o jakichś korporacjach? Napisałeś:


> Jeżeli coś jest za darmo to znaczy, że Ty jesteś produktem.


więc ci podałem przykłady rzeczy za darmo i chciałbym od ciebie usłyszeć, w jaki niby sposób jestem produktem.


Ale skoro chcesz rzeczy korporacyjnych, to OK: w jaki sposób jestem produktem, używając ZSTD do kompresji swoich danych?

dzek

Dobrze? Totalnie z d⁎⁎y.


Ah, trzeba mieć aplikację.

30ohm

Dopiero ktoś to odkrył? Większość ogarniających bezpieczeństwo IT wie o tym od dawna. Polecam wywalić to gówno. Można zawsze korzystać z wersji przeglądarki. Najgorsze że np. Samsung instaluje tak że nie da się usunąć.

sierzant_armii_12_malp

@PLANTRON No właśnie nie wie. Zalewa mnie reklamami rzeczy, których nigdy nie kupuję i nie zamierzam, np. durnych gierek na smartfona.

Marchew

Zysk netto mety:

2025 patrząc na trend z poniższych, wyjdzie może 80 mld usd

2024 62 mld usd

2023 39 mld usd

2022 23 mld usd


Kary wyniosą nawet 32 miliardy euro,

Ile potrwa batalia sądowa? 5 lat?

Patrząc na trendy wzrostu,, w 2030 netto income wyniesie 180 mld usd. Jak to wygląda przy karze 32 mld euro? Przecież oni więcej zarobią na przekrętach niż wyniesie za nie kara.

To tak jakby ukraść banku 100 mln zł, kiedy kara za kradzież wyniesie 20 mln zł. 80 mln zostaje na czysto do podziału ¯\_( ͡° ͜ʖ ͡°)_/¯

Kara 32 mld euro pokaże że było warto i warto spróbować ponownie.

Calypso_Cluster

@Marchew haha bo to nie kara tylko klaps, kapitan państwo też chce trochę pieniążków z biznesu a nie że firma ma wszystko dla siebie i unika podatków 😎

elmorel

"wewnętrzny port tzw. localhost". Opie błagam, jak chcesz cos opisać to staraj się być rzetelny.

Juz pomijam fakt, ze VPN nie ma tutaj nic do rzeczy jeśli chodzi o tracking na poziomie warstwy aplikacji.

starebabyjebacpradem

@PLANTRON na szczęście korzystam poprzez przeglądarkę opera na pohybel rudemu androidowi cukierbergowi

ovoc

Jest jeszcze całkiem popularny WhatsApp od Meta, który też może nasłuchiwać.

bojowonastawionaowca

@PLANTRON proszę na przyszłość tagować wpisy, w przeciwnym wypadku będą usuwane


Tym razem tagi dodałem

kopytakonia

@PLANTRON jak dobrze, ze nkie mam FB i Instagrama (chociaz mialem przez lata) co nie zmienia faktu, ze jak przy obiedzie rozmawiamy o np. butach to za chwile ktos na telefonie ma buty reklamowane

jedzczarnekoty

Mowa raczej wyłącznie o aplikacji - bo żadnych spersonalizowanych reklam nie widziałem. Ale, lata temu pozbyłem się aplikacji Instagram bo zaskoczyło mnie, że pobiera sporo baterii choć wcale jej nie używam tak często. (° ͜ʖ °)

Zaloguj się aby komentować