9月23日消息，近日 社交 媒體 平臺Facebook用戶起訴母公司Meta有意繞過 蘋果 的用戶隱私保護機制，在未經用戶同意的情況下繼續通過應用內瀏覽器跟蹤用戶上網行為。但Meta公司對此予以否認。

2021年蘋果更新用戶隱私保護規則，推出應用程序跟蹤透明度機制（ATT），允許iOS用戶自行選擇是否退出第三方應用程序的跟蹤。結果很多用戶選擇退出，以至于電子前沿基金會(Electronic Frontier Foundation)報告稱，Meta估計在2022年要損失100億美元營收。

Meta的 商業 模式主要依賴于向廣告商出售用戶數據，公司似乎在尋找新的途徑繼續廣泛收集用戶數據。上個月，隱私研究員、前谷歌工程師菲利克斯·克勞斯(Felix Krause)聲稱，Meta試圖挽回損失的一種方法是，引導用戶將旗下Facebook和Instagram等應用程序中點擊的所有鏈接轉到應用內瀏覽器打開。克勞斯報告稱，這樣一來，Meta能夠在未經用戶同意的情況下注入代碼，修改外部網站，跟蹤“用戶所有的上網行為”，包括跟蹤賬戶和密碼。過去的一周內，Facebook和iOS用戶先后提起兩起集體訴訟，用克勞斯的研究結果起訴Meta，指控Meta隱瞞隱私風險，繞過iOS用戶的隱私保護選擇機制，攔截、監控和記錄用戶通過Facebook或Instagram瀏覽器訪問所有第三方網站的活動。訴訟稱，Meta通過應用內瀏覽器建起秘密通道，可以訪問“個人身份信息、私人健康細節、文本條目和其他敏感事實”，用戶甚至不知道自己的數據被收集。

本周三，加利福尼亞的加布里埃爾·威利斯（Gabriele Willis）和路易斯安那州的凱瑞莎·戴維斯（Kerreisha Davis）向法院提起訴訟。此案代理律師阿達姆·波爾克（Adam Polk）稱，Meta之前就存在未經同意情況下收集用戶信息的不當行為，并向法院列明，美國聯邦貿易委員會(FTC)的調查導致Meta被處以50億美元的罰款。

波爾克表示：“只使用一個應用程序并不意味著應用程序公司可以在用戶點擊鏈接時偷窺。”“這場官司的目的是追究Meta通過應用內跟蹤秘密監控用戶上網活動的責任。”

Meta發言人表示：“這些指控毫無根據，我們將積極為自己辯護。我們的應用內瀏覽器經過仔細設計，在如何將數據用于廣告等方面都尊重用戶的隱私選擇。”

私下跟蹤用戶數據

根據公開的訴訟文件，克勞斯的研究“揭示Meta一直在向第三方網站注入代碼，這種做法使Meta能夠跟蹤用戶并攔截原本無法獲得的數據。”

為了調查潛在的隱私問題，克勞斯建立了一個名為inappbrowser.com的網站，用于“檢測特定的應用內瀏覽器是否向第三方網站注入代碼”。他將Telegram等應用程序與Facebook應用程序進行了比較。結果HTML文件的變化表明，當用戶點擊鏈接時，Telegram不會向第三方網站注入能通過應用內瀏覽器跟蹤用戶數據的JavaScript代碼，而Facebook應用程序則可以跟蹤用戶上網行為。

在Facebook和Instagram應用程序運行的測試中，克勞斯稱，HTML文件清楚表明，“Meta使用JavaScript修改網站，并覆蓋用戶的默認隱私設置，將用戶引導到Facebook應用內瀏覽器，而不是系統默認的Web瀏覽器。”

訴訟指出，這種注入代碼的策略似乎被Meta用來“竊聽”用戶，最初被行內稱為JavaScript注入攻擊。訴訟將這種做法定義為“威脅行為者直接向客戶端注入JavaScript惡意代碼”的實例，使得威脅行為者可以操縱網站或Web應用程序，并收集個人身份信息或支付信息等敏感數據。”

起訴書稱，“Meta現在正在使用這種代碼工具，獲得競爭優勢，并保持攔截和跟蹤iOS用戶通信的能力。”

根據訴訟文件，當克勞斯向Meta的漏洞賞金計劃報告這一問題時，“Meta承認存在跟蹤Facebook用戶的應用程序內瀏覽活動”。訴訟稱，Meta公司當時還確認，它將從應用內瀏覽器收集的數據用于投放定向廣告。

沒有提醒用戶

相比之下，Meta運營的WhatsApp并沒有采用同樣的策略。原告方表示，他們不認為Meta注入代碼可能是出于安全目的。他們還表示，Meta的隱私工具Off-Facebook可以讓用戶查閱企業或網站如何收集個人數據，但這一功能的設置中并沒有提到應用程序內的瀏覽器跟蹤功能。

訴訟稱，Meta“沒有理由”在“隱私工具Off-Facebook的監控”中遺漏這些信息，這么做“只是為了增加‘利潤’，“超出本來可以獲得的利潤。”

訴訟稱，Meta目前的做法是故意向用戶隱瞞事實。

起訴書稱：“Meta并未告知Facebook用戶，從Facebook應用程序內部點擊第三方網站的鏈接時將自動跳轉到Facebook的應用內瀏覽器，而不是用戶默認的Web瀏覽器，也沒有告知Meta會監控用戶在相關網站上的活動和通信。”“因為沒有任何東西提醒用戶這些事實，他們不知道自己被跟蹤；大多數人甚至沒有意識到他們是通過Facebook的應用內瀏覽器訪問第三方網站。”

克勞斯在分析報告中指出，即使選擇拒絕跟蹤行為的iOS用戶也無法避免應用內瀏覽器的跟蹤，而且沒有辦法選擇退出。他建議Meta公司更新Instagram和Facebook設置，使其運作更像WhatsApp，并且永遠不要修改第三方網站。最合適的解決方案就是不要默認跳轉到應用內瀏覽器，而是讓用戶點擊鏈接時可以自行選擇瀏覽器。

在克勞斯通過漏洞賞金計劃向Meta提交這一隱私問題后，Meta表示，注入JavaScript腳本的部分原因是為了實現安全功能，“有助于Meta尊重iOS用戶選擇退出跟蹤的系統機制”。克勞斯認為，“只有在被渲染網站安裝了自定義跟蹤器Meta Pixel來跟蹤用戶上網活動時，這才有意義”，“如果Instagram能打開 手機 的默認瀏覽器，就沒有必要這樣做。”

最終Meta關閉了克勞斯的報告，稱Meta插入代碼是“有意的”，“與隱私無關”。

現在，Facebook用戶依據克勞斯的漏洞報告向法院提起訴訟。原告要求法院“永久限制Meta”繼續進行他們所認為的JavaScript注入攻擊，因為這一做法能讓Meta“以與用戶期望隱私設置不一致的方式”來“攔截用戶的私人通信，跟蹤用戶在第三方網站上的上網活動”。

如果法院認定Meta故意違反法律，公司將面臨巨額罰款。

訴訟表明，自從Meta開始將JavaScript代碼注入第三方網站以來，可能已經有數百萬用戶受到了影響。起訴書稱，“所有通過Facebook應用內瀏覽器上訪問第三方外部網站的活躍Facebook賬戶”都在此列，都有資格提出索賠。如果原告勝訴，所有被認為受到影響的用戶都有權獲得法定損害賠償金，最高可達《竊聽法》規定的“每天罰100美元到1萬美元”，或者《加州侵犯隱私法》規定的“每次違法行為賠付5000美元”。

與此同時，訴訟稱有一種簡單方法可以阻止Meta收集用戶信息，那就是不要直接點擊Facebook或Instagram中的鏈接，而是將鏈接復制粘貼到自己喜歡的瀏覽器中。

【來源：網易 科技 】