Meta en Yandex bespioneerden miljoenen Android-telefoongebruikers via apps

Zonder dat gebruikers van Android-telefoons het wisten, verzamelden techreuzen Meta (moederbedrijf van Facebook en Instagram) en het Russische Yandex jarenlang naar schatting miljoenen persoonlijke surfgegevens via Android-apps. Onderzoekers van de Radboud Universiteit en internationale partners ontdekten dat deze apps luisterden op zogeheten ‘lokale poorten’ op mobiele telefoons. Gebruikers en websitebouwers wisten hier niets van.

De apps van Meta en Yandex vingen op deze manier surfgedrag af en koppelden die informatie aan iemands account, zelfs als diegene in incognito-modus zat. Daardoor konden ze precies zien wie wat online bezocht, zonder dat daar ooit toestemming voor was gegeven, zo blijkt uit het onderzoek onder leiding van Gunes Acar en Narseo Vallina-Rodriguez (beiden van de Radboud Universiteit).

Informatie verzamelen via achterdeur

De techniek maakt gebruik van zogenoemde trackingcodes die op miljoenen websites zijn verborgen. Zodra iemand een site bezoekt via een app zoals Facebook, Instagram of een Yandex-app, wordt die code automatisch geladen. Daardoor kunnen die bedrijven precies volgen wat je doet op die website, zonder dat je dat doorhebt of er toestemming voor hebt gegeven.

Het gaat ook niet om een paar sites, volgens het onderzoek betreft het miljoenen websites. Meta’s Pixel staat op zeker 5,8 miljoen websites, Yandex Metrica op zo’n 3 miljoen. Hierdoor konden ze via een achterdeur de Android-beveiliging omzeilen. Volgens de onderzoekers doet Yandex dit al sinds 2017, Meta sinds eind 2024.

Sluw te werk

De onderzoekers zijn verbaasd over hoe ver de bedrijven gingen. Yandex zou bijvoorbeeld apps hebben gebouwd die pas dagen na installatie actief gingen luisteren, om ontdekking te voorkomen. Ze vergelijken deze werkwijze met die van malware. “Dit laat zien hoe ver ze gaan om onder de radar te blijven”, aldus promovendus Nipuna Weerasekara.

Volgens het onderzoek is er geen bewijs dat gebruikers of websitebouwers vooraf zijn ingelicht over deze praktijken. Forumdiscussies wijzen erop dat ook veel ontwikkelaars van websites verrast waren door het gedrag van de scripts van Meta en Yandex.

Voorkomen

De enige manier om deze vorm van tracking helemaal te voorkomen, is volgens de onderzoekers het verwijderen van apps zoals Facebook, Instagram en de Yandex-apps. Ondertussen werken browserbouwers zoals Google Chrome aan updates om dit misbruik te blokkeren.