Meta e Yandex hanno spiato milioni di utenti Android
Meta e Yandex hanno tracciato milioni di utenti Android sfruttando una falla nel sistema. La scoperta ha portato a cambiamenti concreti per la privacy.
La tecnica sfruttava un canale nascosto di Android per unire i dati del browser a quelli delle app, colpendo potenzialmente
Facciamo un esperimento mentale, anche se in realtà è successo davvero a milioni di persone. Sei sul tuo telefono Android, apri Chrome e cerchi “scarpe da corsa”. Guardi due o tre risultati, chiudi il browser. Poco dopo apri l’app del meteo per controllare se domani piove, e lì, tra un annuncio e l’altro, spunta la pubblicità di un negozio di scarpe da running. Ti sembra una coincidenza inquietante? Non lo è. È il risultato di un meccanismo di tracciamento che Meta e Yandex hanno usato per collegare i cookie del browser agli identificativi delle app native, una tecnica capace di riguardare potenzialmente miliardi di utenti Android in tutto il mondo. La cosa più sorprendente non è che esista un tracciamento del genere — ormai lo diamo quasi per scontato — ma il modo in cui è stato realizzato: sfruttando una porta di servizio del sistema operativo che nessuno, tranne pochi ricercatori, aveva mai davvero controllato.
Il trucco del localhost: Android contro iOS
Dopo aver scoperto la trappola, i ricercatori hanno scavato nel funzionamento tecnico. Ed ecco cosa hanno trovato: Android, a differenza di iOS, permette a qualsiasi app installata con il permesso INTERNET di aprire una specie di “canale privato” sul dispositivo, un socket in ascolto sull’interfaccia di loopback, quella che in gergo si chiama 127.0.0.1. È come se ogni app potesse tenere una porta di casa socchiusa, invisibile dall’esterno, ma raggiungibile da chiunque si trovi già dentro l’edificio. E il browser che usi per navigare, guarda caso, si trova nello stesso “edificio”: il tuo telefono. Così, senza che tu lo sappia e senza che il sistema chieda alcun consenso, il browser può bussare a quella porta e scambiare informazioni con l’app nativa, collegando quello che cerchi sul web con la tua identità dentro l’app.
Il motivo per cui questi tracker hanno puntato su Android e non su iOS non è un caso. Google, spiegano i ricercatori, impone meno controlli sulle comunicazioni via localhost e sull’esecuzione delle app in background rispetto ad Apple. In pratica, iOS ha reso da tempo questa scorciatoia molto più difficile da percorrere, mentre Android l’ha lasciata aperta per anni. E chi ci si è infilato per primo? Yandex, il colosso russo di internet, che secondo quanto ricostruito ha iniziato a collegare identificatori web e app già nel 2017, usando comunicazioni via HTTP osservate per la prima volta a febbraio di quell’anno. Meta è arrivata dopo, molto dopo: la tecnica di de-anonimizzazione risulta attivata solo a settembre 2024. Non stiamo parlando di attori marginali: il cookie _fbp di Meta, quello che alimentava questo meccanismo, è presente su circa il 25% dei primi milioni di siti web secondo il Web Almanac 2024, ed è il terzo cookie di prima parte più diffuso su tutto il web. Se guardiamo ai numeri assoluti, secondo HTTP Archive il Meta Pixel risulta installato su 2,4 milioni di siti, mentre Yandex Metrica su 575.448. Una diffusione che rende chiaro quanto fosse esteso il perimetro di questa sorveglianza incrociata tra ciò che fai sul browser e ciò che fai dentro le app.
In sostanza, quello che è successo è che due delle aziende con più cookie di tracciamento al mondo hanno trovato il modo di scavalcare una barriera che dovrebbe essere invalicabile: quella tra “quello che faccio sul web, in teoria anonimo o pseudonimo” e “quello che faccio nell’app, dove sono loggato con nome e cognome”. Come confermato anche in uno studio presentato a USENIX Security ’26, queste garanzie di isolamento tra web e app “possono essere e sono state infrante nella pratica” proprio su dispositivi Android, da parte di Meta e Yandex, per abilitare un tracciamento che unisce la navigazione web con le identità native degli utenti. Fortunatamente, la luce gettata su questo meccanismo ha portato a cambiamenti rapidi e a un riconoscimento importante per chi lo ha scoperto.
Vittoria postuma: il premio e l’eredità della ricerca
E infatti, a distanza di mesi dalla divulgazione avvenuta lo scorso giugno, il lavoro del ricercatore Gunes Acar e del suo team ha innescato una vera reazione a catena. La prima è arrivata quasi subito: nei giorni immediatamente successivi alla segnalazione, un portavoce di Meta ha dichiarato che, “non appena venuti a conoscenza delle preoccupazioni”, l’azienda ha deciso di “sospendere la funzionalità mentre lavoriamo con Google per risolvere il problema”, riferendosi proprio al meccanismo del Meta Pixel che sfruttava il localhost. Non una scusa di circostanza, ma la sospensione concreta di una funzione che stava già girando su milioni di dispositivi, insieme all’apertura di un tavolo di lavoro diretto con Google per chiudere la falla alla radice.
Il riconoscimento più recente è arrivato quest’anno, quando Gunes Acar e Frederik Zuiderveen Borgesius hanno vinto il CNIL-Inria Privacy Award 2026, un premio internazionale che celebra proprio le ricerche che hanno un impatto reale sulla privacy delle persone. E l’impatto, in questo caso, non è retorica: come ha commentato lo stesso Acar, “la nostra indagine ha portato a cambiamenti concreti nei browser, nelle piattaforme mobili e negli standard web”, aggiungendo di essere “felice che la nostra divulgazione abbia migliorato la privacy per miliardi di utenti”. Non è una frase buttata lì per il comunicato stampa: significa che browser, sistemi operativi mobili e persino gli standard tecnici che regolano il web sono stati rivisti alla luce di questa scoperta. La sorveglianza invisibile ha subito un colpo, ma resta chiaro che serviranno occhi attenti come quelli di Acar per intercettare la prossima trovata.
Quello che resta di questa storia, oggi che ne guardiamo gli sviluppi con qualche mese e persino un premio internazionale di distanza, è la dimostrazione che la privacy online non si difende da sola. Ci vogliono ricercatori che smontino pezzo per pezzo un meccanismo tecnico oscuro, giornalisti che lo raccontino in modo comprensibile, e aziende come Google che, messe di fronte all’evidenza, siano costrette a correggere il tiro. La domanda che resta aperta, però, è quella che dovremmo farci ogni volta che scopriamo un trucco del genere: se questa porta è stata chiusa, quale altra porta socchiusa staranno già cercando i prossimi tracker?
