Практически незамеченной осталась история с LocalMess — технологией, используемой в приложениях Яндекса (Карты, Навигатор, Браузер, Метро, Go и других), начиная с 2017 года. Суть заключается в следующем: каждое из этих приложений поднимает локальный HTTP-сервер на смартфоне, который в реальном времени перехватывает все URL-запросы пользователя, включая активность в инкогнито-режиме и даже в сторонних браузерах.
Основные факты
* Трекинг уровня ядра: Любое сетевое соединение — будь то через Яндекс.Браузер или любой другой, даже в режиме инкогнито — перехватывается через локальный сокет.
* Работа без согласия: Пользователь не получает уведомлений о запуске службы или передаче данных.
* Продолжительность: Согласно исследованию и репозиторию LocalMess, активное внедрение технологии началось ещё в 2017 году.
Механизм работы:
* Сторонние сайты встраивают JavaScript-скрипты.
* Эти скрипты отправляют HTTP-запросы на http://127.0.0.1:{порт}, поднятый Яндекс-приложением.
* Приложение собирает URL, заголовки, данные — и отправляет их на сервер Яндекса.
* Обход системных ограничений: Стандартные методы приватности (отключение cookies, сброс рекламного ID, VPN, инкогнито-режим) — не работают.
* По степени агрессивности: даже Meta (Facebook, запрещена в РФ) отказалась от подобного способа отслеживания.
Что это значит для пользователя
* Полная деанонимизация: Связка между устройством, аккаунтом и действиями пользователя доступна Яндексу в любой момент.
* Уязвимость приватности: Любой заход на сайт, даже без клика, фиксируется.
* Тихая угроза: Несмотря на потенциальный масштаб, история практически не освещалась в СМИ.
Как защититься
* Использовать браузеры, которые блокируют локальные HTTP-запросы — например, Brave или DuckDuckGo Browser.
* Ограничить фоновую активность приложений Яндекса или полностью удалить их.
* Мониторить открытые порты на localhost (например, через netstat или специальные сетевые анализаторы).
* Использовать устройства с открытыми прошивками или без сервисов Google/Яндекса.
Итог
LocalMess — это не просто пример слежки, а полноценный бэкдор, вшитый в популярные приложения. Его присутствие поднимает серьёзные вопросы не только о приватности, но и об ответственности разработчиков. В условиях, когда даже западные IT-гиганты начали отказываться от таких решений, действия Яндекса выглядят особенно тревожными.
⬇️Поддержать автора⬇️
✅SBER: 2202 2050 7215 4401