İspanya’daki IMDEA Ağ Enstitüsü’nden araştırmacıların hazırladığı rapora göre, söz konusu iki internet şirketi, Android kullanıcılarının web sitelerindeki hareketlerini, tarayıcıların normalde güvenlik amacıyla uygulamalarla paylaşmaması gereken bilgileri kullanarak izlemiş. İhlalin temelinde Meta Pixel ve Yandex Metrica adlı popüler takip araçları yatıyor.

İhlal Nasıl Gerçekleşti? Güvenlik Duvarları Nasıl Aşıldı?

Meta Pixel ve Yandex Metrica, normalde reklamverenlerin kampanyalarının etkinliğini ölçmelerine yardımcı olmak için tasarlanmış analiz araçlarıdır ve tahmini olarak milyonlarca web sitesinde yüklü durumdalar. Ancak bu araştırmada, bu araçların kötüye kullanıldığı tespit edildi.

Araştırmacılar, Meta ve Yandex'in, kullanıcıların tarayıcıdaki özel çerez bilgilerini, "localhost" (cihazın kimliği ve IP adresi) üzerinden kendi uygulamalarına (Facebook, Instagram, Yandex vb.) gizlice ilettiğini belirledi. Bu yöntemle, tarayıcılar ve uygulamalar arasındaki "sandbox" adı verilen güvenlik duvarı aşıldı. Sandbox, uygulamaları birbirinden izole eden ve birinin diğerinin oturum bilgilerine veya dosyalarına erişmesini engelleyen kritik bir güvenlik katmanıydı. Bu güvenlik duvarının aşılmasıyla, tarayıcıda gezinilen herhangi bir siteden elde edilen kullanıcıya özel çerez bilgileri, kullanıcının Android cihazındaki Meta veya Yandex uygulamasına giriş yapmış gerçek hesapla eşleştirilebildi.

Gizli Sekmede Bile İzleme Yapıldı

İhlalin en çarpıcı yönlerinden biri, bu takibin gizli modda bile çalışmasıydı. Normalde gizli sekme, kullanıcı tarayıcıyı kapattığında çerezleri, geçmişi ve oturum bilgilerini silerek kullanıcıyı anonimleştirmeyi amaçlar. Ancak bu olayda, Meta ve Yandex'in kodları, silinmesi gereken bu bilgileri zaten Android uygulamalarına aktarmış oluyor, bu da kullanıcının anonimliğinin tamamen ortadan kalktığı anlamına geliyor.

Süreç adım adım şu şekilde işledi:

• Kullanıcı, Facebook veya Yandex uygulamalarına giriş yapmıştır.
• Chrome veya başka bir tarayıcıda gezinmektedir.
• Söz konusu uygulamalar, kullanıcının tarayıcıda ne yaptığını arka planda gizlice izler.
• Hangi siteye girdiği, ne okuduğu, ne aradığı gibi veriler, kullanıcının uygulamadaki hesaplarıyla eşleştirilir.
• Bu izleme, gizli modda bile çalışır.
• Takip, kullanıcıya hiçbir uyarı vermeden, tarayıcının ve Android'in güvenlik sınırlarını aşarak yapılır.

Google, Meta ve Yandex'ten Açıklama Geldi

Android işletim sisteminin sahibi Google'ın sözcüleri, ihlalin ortaya çıkmasının ardından yaptıkları açıklamada, söz konusu davranışın Play Store'un hizmet şartlarını ve Android kullanıcılarının gizlilik beklentilerini ihlal ettiğini belirtti.

Yandex ve Meta'dan yapılan açıklamalarda ise, bu uygulamanın durdurulduğu ve konuyla ilgili kapsamlı soruşturmalar başlatıldığı ifade edildi. Bu gelişme, dijital çağda veri gizliliği ve siber güvenlik tartışmalarını daha da alevlendirecek gibi görünüyor.