«Яндекс Карты», Wildberries и еще 20 популярных российских приложений следят, включен ли у пользователей VPN
22 из 30 популярных российских приложений на Android следят за тем, включены ли у пользователей VPN-сервисы, выяснили эксперты RKS Global. Об их исследовании (.pdf) первым сообщил The Bell 10 апреля.
Чаще всего это проверяют банковские приложения (Т-Банк, Сбербанк, ВТБ, Альфа-банк), приложения компаний «Яндекс» и VK («Браузер», «Карты», «ВКонтакте», «Одноклассники»).
Среди маркетплейсов такие проверки проводят Wildberries, Ozon, MegaMarket и «Самокат». Кроме того, в список среди прочих попали «Авито», 2ГИС и мессенджер Max.
В число приложений, которые не детектируют VPN, вошли «Яндекс Маркет», «Яндекс Еда», «Госуслуги», «Яндекс Go», «Дзен», «Почта Mail.ru», «Мегафон» и Mir Pay.
По словам авторов работы, 18 из 30 исследованных приложений отправляют VPN-статус на свои сервера, кроме того, 24 из 30 приложений отправляют список приложений на сервер. «Если Сбербанк стоит рядом с VPN-клиентом — разработчики и силовики это знают», — говорят эксперты.
В работе RKS Global говорится, что «Яндекс Браузер» стал единственным приложением из 30, которое ищет на устройстве анонимный браузер Tor. «Самокат» и MegaMarket при этом получают список всех установленных VPN-приложений.
Читаете нас не из России? Помогите «Медузе» помогать вашим близким в России! 1) Отправьте им pdf с инструкцией про VPN и другой полезной информацией. 2) Покупайте книги и мерч в нашем «Магазе» и подпишитесь на регулярный донат «Медузе». Ваша поддержка = «Медуза» всегда под рукой. А уж с блокировками мы как-нибудь справимся.
В 11 приложениях — среди них Т-Банк, Сбербанк, «Госуслуги» и Rutube — обнаружен перехват событий касания экрана. В трех из них — Сбербанк, МТС и Альфа-Банк — это используется как поведенческая биометрия: собираются координаты, давление и размер нажатий. Это позволяет идентифицировать человека по манере нажатий — без логина.
Министерство цифрового развития РФ в рамках борьбы с VPN потребовало от крупнейших интернет-площадок, чтобы они к 15 апреля ограничили доступ к своим платформам пользователям с включенными VPN.