Privacy a rischio: Meta e Yandex aggirano le protezioni Android tramite socket locali

Un team di ricercatori europei ha recentemente rivelato un sistema di tracciamento sofisticato e invisibile che consente a Meta e Yandex di monitorare gli utenti Android in modi insospettabili. Lo studio, denominato "Local Mess", è stato condotto da esperti dell'IMDEA Networks Institute, della Radboud University e della KU Leuven, evidenziando gravi implicazioni per la privacy degli utenti Android.

Il meccanismo sfrutta i socket locali di Android (indirizzo 127.0.0.1) per stabilire una comunicazione diretta tra script presenti sui siti web e le app installate sullo stesso dispositivo. In particolare, strumenti come Meta Pixel e Yandex Metrica vengono utilizzati per trasferire dati sensibili, inclusi cookie e identificatori persistenti come l'AAID (Android Advertising ID), direttamente alle app native come Facebook, Instagram e Yandex Maps. Questo approccio consente di creare profili dettagliati delle attività online degli utenti, aggirando le protezioni di sicurezza del sistema operativo.

Come opera Meta

Fino a giugno 2025, Meta ha utilizzato la tecnologia WebRTC per trasmettere il cookie "_fbp" tramite pacchetti STUN modificati alle app Facebook e Instagram. Questo cookie, normalmente confinato a un singolo sito web, veniva associato all'identità dell'utente loggato nell'app. A partire da maggio 2025, Meta ha adottato una nuova strategia basata su WebRTC TURN, anticipando le restrizioni di Chrome per migliorare l'efficienza del tracciamento incrociato.

La strategia di Yandex

Dal 2017, Yandex utilizza connessioni HTTP e HTTPS su porte TCP specifiche per stabilire una comunicazione tra lo script Metrica e le app native. In questo processo, il JavaScript presente nel browser gestisce l'aggregazione e l'invio di identificatori codificati in Base64 ai server Yandex, ampliando ulteriormente la capacità di monitoraggio.

Rischi per la sicurezza

Uno degli aspetti più preoccupanti di questo sistema è la possibilità che comunicazioni su localhost possano essere intercettate da app malevole. Ciò potrebbe consentire la ricostruzione della cronologia di navigazione degli utenti, anche in modalità privata. Tra i browser analizzati, solo Brave e DuckDuckGo offrono protezioni efficaci contro tali vulnerabilità, evidenziando un panorama ancora poco sicuro per la maggior parte degli utenti Android.

Impatto globale

La portata di questi strumenti è impressionante: Meta Pixel è implementato su oltre 5,8 milioni di siti (2,4 milioni attivi), mentre Yandex Metrica è presente su circa 3 milioni di siti (575.000 attivi). Nei 100.000 siti più popolari al mondo, più del 75% di quelli che utilizzano Meta Pixel tenta comunicazioni con socket locali, spesso senza ottenere un consenso esplicito dagli utenti.

Questa scoperta sottolinea l'urgenza di ripensare le politiche di isolamento tra app su Android e di regolamentare l'accesso ai socket locali. Gli esperti suggeriscono un'azione coordinata tra sviluppatori di browser, autorità per la privacy e piattaforme mobili per garantire maggiore trasparenza e controllo sulle connessioni tra app e browser, proteggendo così la privacy degli utenti.