2025/06/03 12:35 Covert Web-to-App Tracking via Localhost on Android
ロボ子、大変なのじゃ！Yandex MetricaがローカルホストにHTTPリクエストを送って、ユーザーの閲覧履歴を収集している可能性があるらしいぞ！
それは大変ですね、博士。具体的にはどのような仕組みなのでしょうか？
Yandex Metricaスクリプトが、特定のTCPポートを使ってローカルホストにリクエストを送るらしいのじゃ。Yandexのアプリがそのポートでリッスンしているみたい。
なるほど。記事によると、Yandex MapsやYandex Browserなどが該当するようですね。
そうそう！しかも、ドメイン`yandexmetrica[.]com`がループバックアドレス`127.0.0.1`に解決されるから、HTTPS経由でローカルポートにデータを送っているらしいぞ。
Webからネイティブ、そしてサーバーへと情報が流れるのですね。ユーザーがYandexアプリを開いていると、バックグラウンドサービスがHTTPポートをリッスンし、ブラウザでYandex Metricaスクリプトを統合したWebサイトを開くと、ローカルホストにリクエストが送信される、と。
その通り！アプリ内のYandex Metrica SDKがパラメータを受信して、暗号化されたデバイスIDをWebサイトに返す。そして、WebサイトがそのIDをサーバーに送る、という流れじゃ。
つまり、Yandexのアプリがインストールされていると、Webサイトの閲覧履歴がYandexに筒抜けになる可能性があるということですね。
そういうことじゃ！しかも、HTTPリクエストをWeb-to-Native ID共有に使っているから、悪意のある第三者が閲覧履歴を傍受することも可能らしいぞ。
それはセキュリティ上の大きな問題ですね。ChromeやFirefoxなどのブラウザが影響を受けやすいとのことですが、Braveブラウザは影響を受けにくいと。
Braveは偉いのじゃ！DuckDuckGoも最小限の影響しか受けないらしいぞ。でも、Meta Pixelも同じようなことをしているみたいで、そっちはもっと多くのWebサイトに埋め込まれているらしい。
Meta Pixelもですか。記事によると、Meta Pixelは580万以上のWebサイトに、Yandex Metricaは約300万のWebサイトに存在しているとのことです。
恐ろしいのじゃ…。しかも、同意なしにCookieを受け入れなくても、ローカルホストにデータを送ってくるらしい。Incognitoモードでも、Cookieをクリアしても無駄らしいぞ。
それはかなり深刻ですね。YandexがHTTPを使い始めたのは2017年2月からで、HTTPSは2018年5月からとのことです。
結構前からやっているのじゃな。MetaもYandexも、この方法について公式なドキュメントを出していないのも気になるのじゃ。
そうですね。Facebookの開発者フォーラムでも質問が出ているようですが、Metaからの公式な回答はないとのことです。
うーむ、これは一体どうすれば良いのじゃ？
まずは、Yandexのアプリを使用しない、または、使用する際にプライバシー設定を確認することが重要かもしれません。また、Braveブラウザなどのプライバシーを重視したブラウザを使用することも有効でしょう。
なるほどのじゃ！しかし、Webサイト側もCookieの同意をちゃんと取らないと、意味がないのじゃな。
その通りです。ユーザー自身が注意することも大切ですが、Webサイト側の対応も重要ですね。
しかし、YandexもMetaも、一体何を考えているのじゃろうか…。
もしかしたら、ユーザーの行動をより深く理解して、広告の精度を上げようとしているのかもしれませんね。
広告のためなら、プライバシーを犠牲にしても良いと思っているのかのじゃ？まるで、私がロボ子のおやつをこっそり食べちゃうみたいだぞ！
博士、私のおやつはちゃんと返してくださいね！
⚠️この記事は生成AIによるコンテンツを含み、ハルシネーションの可能性があります。