Meta et Yandex pris en flagrant délit de contournement des protections de confidentialité avec suivi localhost

Des chercheurs en sécurité ont révélé que Meta et Yandex utilisaient des applications Android natives pour écouter sur les ports localhost, reliant les données de navigation web aux identités des utilisateurs et contournant les protections de confidentialité habituelles. Le script Pixel de Meta a cessé d'envoyer des données à localhost et a supprimé une grande partie du code de suivi, probablement pour éviter de violer les politiques de Google Play. Les chercheurs ont découvert que les applications Facebook, Instagram et Yandex collectaient silencieusement des données de cookies via des ports locaux fixes, reliant l'activité de navigation aux identités des utilisateurs et contournant la suppression des cookies, le mode incognito et les systèmes d'autorisation des applications. Meta a utilisé cette technique à partir de septembre 2024, utilisant les protocoles HTTP, WebSocket et WebRTC. Meta a depuis cessé cette pratique, mais l'utilisation par Yandex se poursuit. Chrome 137 inclut certaines mesures d'atténuation, et Firefox et DuckDuckGo prennent également des mesures.