O browser εντός της εφαρμογής του TikTok μπορεί να παρακολουθεί κάθε σας κίνηση στον ιστότοπο που έχετε ανοίξει.
Γνωρίζετε πώς ορισμένες δημοφιλείς εφαρμογές δεν σας αφήνουν να βγείτε από την εφαρμογή όταν κάνετε κλικ σε έναν σύνδεσμο, ανοίγοντας τον εν λόγω σύνδεσμο στο δικό τους μικρό πρόγραμμα περιήγησης εντός εφαρμογής;
Όπως αποδεικνύεται, αυτό επιτρέπει σε αυτές τις εφαρμογές να παρακολουθούν αυτό που κάνετε. Και μεταξύ των πιο δημοφιλών εφαρμογών που το κάνουν αυτό, το TikTok φαίνεται να είναι ο χειρότερος παραβάτης.
Σε μια ανάρτηση ιστολογίου την Πέμπτη, ο ερευνητής ασφάλειας Felix Krause ανακοίνωσε την κυκλοφορία του InAppBrowser, ενός εργαλείου που παραθέτει όλες τις εντολές JavaScript που εκτελούνται από μια εφαρμογή iOS την ώρα που ο browser εντός της εφαρμογής αποδίδει μια ιστοσελίδα.
Για να δείξει τι μπορεί να κάνει το εργαλείο, ο Krause ανέλυσε ορισμένες δημοφιλείς εφαρμογές iOS που διαθέτουν πρόγραμμα περιήγησης εντός εφαρμογής και τα αποτελέσματα είναι ανησυχητικά. Τα δεδομένα του Krause δείχνουν ότι οι εφαρμογές συμπεριλαμβανομένων των TikTok, Instagram, Facebook Messenger και Facebook τροποποιούν όλες τις ιστοσελίδες που ανοίγουν στον browser εντός εφαρμογής. «Αυτό περιλαμβάνει την προσθήκη κώδικα tracking (όπως inputs, επιλογές κειμένου, πατήματα κ.λπ.), την εισαγωγή εξωτερικών αρχείων JavaScript, καθώς και τη δημιουργία νέων στοιχείων HTML», λέει ο Krause. Λαμβάνουν επίσης metadata ιστότοπου, αν και ο Krause λέει ότι αυτό είναι “ακίνδυνο”.
Όταν ο Krause έσκαψε λίγο πιο βαθιά στο τι κάνουν πραγματικά τα προγράμματα περιήγησης αυτών των εφαρμογών, διαπίστωσε ότι το TikTok κάνει κάποια κακά πράγματα, συμπεριλαμβανομένης της παρακολούθησης όλων των inputs και των χτυπημάτων πληκτρολογίου των χρηστών.
- Έτσι, εάν ανοίξετε μια ιστοσελίδα μέσα στην εφαρμογή του TikTok και εισάγετε τα στοιχεία της πιστωτικής σας κάρτας εκεί, το TikTok μπορεί να έχει πρόσβαση σε όλα αυτά τα στοιχεία. Το TikTok είναι επίσης η μόνη εφαρμογή, από όλες τις εφαρμογές που έχει εξετάσει ο Krause, η οποία δεν προσφέρει καν επιλογή ανοίγματος του συνδέσμου στο προεπιλεγμένο πρόγραμμα περιήγησης της συσκευής, αναγκάζοντάς σας να περάσετε από το δικό του in-app browser.
Σε μια δήλωση στο Forbes, ένας εκπρόσωπος του TikTok επιβεβαίωσε την πρακτική, αλλά λέει ότι «ο εν λόγω κώδικας Javascript χρησιμοποιείται μόνο για εντοπισμό σφαλμάτων, αντιμετώπιση προβλημάτων και παρακολούθηση απόδοσης της εμπειρίας».
Όλα αυτά χρειάζονται για να παρέχεται “μια βέλτιστη εμπειρία χρήστη”, είπε.
Άλλες εφαρμογές που εξέτασε ο Krause, όπως το Instagram, κάνουν επίσης κάποια δική τους παρακολούθηση, αν και καμία από αυτές δεν φτάνει τόσο μακριά όσο το TikTok. Και το Snapchat και το Robinhood είναι καλά παραδείγματα, καθώς δεν τροποποιούν ιστοσελίδες ούτε ανακτούν τα metadata τους για τους ιστότοπους που ανοίγετε στους browser τους.
- Ο Krause προειδοποιεί ότι οι εφαρμογές έχουν πραγματικά έναν τρόπο να κρύβουν τη JavaScript δραστηριότητά τους από το εργαλείο InAppBrowser, πράγμα που σημαίνει ότι θα μπορούσαν να κάνουν περισσότερη παρακολούθηση στα παρασκήνια.
Προς το παρόν, ο μόνος τρόπος για να βεβαιωθείτε ότι δεν μπορούν να κάνουν καμία παρακολούθηση είναι να ανοίξετε ιστότοπους στο προεπιλεγμένο πρόγραμμα περιήγησης της συσκευής — εάν η εφαρμογή προσφέρει ακόμη και αυτήν την επιλογή.
