В сегодняшнем отчете говорится, что «Русский Google» Яндекс отправляет данные, собранные от миллионов пользователей приложений iOS, в Россию — независимо от того, используете ли вы приложения компании или нет. Тамошние законы могут вынудить компанию предоставить данные российскому правительству.
Ваши данные могут быть получены из множества сторонних приложений, использующих инструмент разработчика, созданный Яндексом. Разработчики экономят время и деньги, используя API Яндекса AppMetrica для получения данных аналитики для своего приложения, а компания взамен получает данные о пользователях…
The Financial Times сообщает, что исследователь безопасности обнаружил код, который отправляет данные в Россию, и что он провел независимую проверку утверждений.
Крупнейшая российская интернет-компания внедрила в приложения на мобильных устройствах код, который позволяет отправлять информацию о миллионах пользователей на серверы, расположенные в ее родной стране. […]
Исследователь Зак Эдвардс впервые обнаружил код Яндекса в рамках кампании по аудиту приложений для некоммерческой организации Me2B Alliance. Четыре независимых эксперта провели тесты для Financial Times, чтобы проверить его работу.
Яндекс признает, что собирает данные и отправляет их на серверы в России, но утверждает, что по собранной информации «чрезвычайно сложно идентифицировать пользователей». Однако эксперты не согласны.
Шер Скарлетт, бывший главный инженер-программист по глобальной безопасности в Apple, сказала, что после того, как информация о пользователях будет собрана на российских серверах, Яндекс может быть обязан предоставить ее правительству в соответствии с местным законодательством. Другие эксперты заявили, что метаданные, подобные собираемым Яндексом, могут использоваться для идентификации пользователей.
Последствия для безопасности и конфиденциальности могут быть огромными.
Среди приложений с установленной AppMetrica есть игры, приложения для обмена сообщениями, инструменты для обмена местоположением и сотни инструментов для виртуальных частных сетей, предназначенных для того, чтобы люди могли просматривать веб-страницы без отслеживания. Семь VPN созданы специально для украинской аудитории. По данным Appfigures, группы аналитики приложений, общее количество установок приложений, включающих AppMetrica SDK, исчисляется сотнями миллионов.
Мы уже знаем из попыток обойти требования Apple о конфиденциальности App Tracking Transparency, что широкий спектр безобидно звучащих данных может быть объединен в цифровые подписи, которые могут быть привязаны к отдельным устройствам. Тот же подход, который используется веб-сайтами, может использоваться API-интерфейсами приложений.
Фото: ThisisEngineering RAEng/Unsplash
