Приложения для iOS активно используют push-уведомления для кражи данных пользователя

Исследователь по безопасности Томми Мыск недавно выявил, что некоторые из популярных приложений для iPhone используют функцию push-уведомлений для тайной передачи пользовательских данных, обходя ограничения системы iOS, касающиеся фоновых программ. Это вызывает серьезные опасения относительно безопасности и конфиденциальности пользователей.
Мыск продемонстрировал этот метод в видеоролике, отметив, что функция push-уведомлений, введенная Apple в iOS 10, была использована некоторыми разработчиками с «скрытыми мотивами». Вместо предназначенного обогащения уведомлений, многие известные приложения, такие как TikTok, Facebook, Twitter, LinkedIn и Bing, используют короткое фоновое время push-уведомлений для передачи аналитической информации о пользователях.
Этот подход вызывает беспокойство, поскольку он обходит обычные ограничения, накладываемые системой iOS на фоновую активность приложений. Apple всегда строго регулировала фоновую активность приложений для защиты конфиденциальности и обеспечения производительности устройства. Однако функция push-уведомлений, кажется, случайно предоставила возможность для передачи данных в фоновом режиме.
Передаваемые данные включают уникальные сигналы устройства, которые могут быть использованы для отслеживания пользователей в различных приложениях, что аналогично процессу снятия отпечатков пальцев. Это метод сбора информации, характерной для устройства, который создает уникальный идентификатор пользователя и может использоваться для мониторинга их активности в различных приложениях, например, для таргетированной рекламы.
Apple в скором времени потребует от разработчиков ясного обоснования необходимости доступа их приложений к API, обычно используемым для снятия отпечатков пальцев. Этот шаг соответствует усилиям Apple по улучшению конфиденциальности пользователей, включая введение функции прозрачности отслеживания приложений в iOS 14.5, требующей разрешения пользователя перед отслеживанием их активности в других приложениях и на веб-сайтах.