中國(guó)日?qǐng)?bào)網(wǎng)8月30日電 據(jù)英國(guó)媒體《衛(wèi)報(bào)》報(bào)道，一位前谷歌工程師稱，F(xiàn)acebook和Instagram的母公司Meta一直在對(duì)其網(wǎng)站進(jìn)行重新編碼，將代號(hào)為“Meta Pixel”的JavaScript代碼注入所有鏈接和網(wǎng)站，跟蹤點(diǎn)擊其應(yīng)用程序中鏈接的用戶。

在Facebook和Instagram上，用戶使用的是兩款應(yīng)用提供的“應(yīng)用內(nèi)瀏覽器”，而不是用戶自己選擇的Safari或火狐等網(wǎng)絡(luò)瀏覽器。它們利用這一點(diǎn)，在所有鏈接和網(wǎng)站中注入JavaScript代碼，監(jiān)控所有用戶交互和活動(dòng)。

關(guān)注隱私安全問題的研究人員Felix Krause稱，“Instagram將JavaScript跟蹤代碼注入到每一個(gè)展示的網(wǎng)站中，包括點(diǎn)擊廣告時(shí)出現(xiàn)的網(wǎng)頁，監(jiān)控所有用戶的互動(dòng)，例如點(diǎn)擊的按鈕和鏈接、文本選擇、屏幕截圖，以及包括密碼、地址和信用卡號(hào)在內(nèi)的所有表單輸入?！?/p>

根據(jù)分析，通過該代碼，Meta可以在未經(jīng)用戶同意的情況下監(jiān)控所有用戶交互和活動(dòng)，甚至是敏感信息。

Meta在一份聲明中表示，用戶可以選擇是否允許應(yīng)用跟蹤，注入跟蹤代碼符合這一用戶偏好，且該代碼僅用于匯總數(shù)據(jù)，為之后那些拒絕跟蹤的用戶投放定向廣告或進(jìn)行評(píng)估。

“我們開發(fā)跟蹤代碼，是為了尊重用戶在我們平臺(tái)上的‘要求跟蹤’選擇。通過這個(gè)代碼，可以對(duì)用戶的交互活動(dòng)進(jìn)行匯總?！?/p>

“對(duì)于通過應(yīng)用內(nèi)瀏覽器進(jìn)行的購(gòu)買，我們會(huì)征求用戶意見，確定用戶是否同意自動(dòng)填寫信息，以便為用戶保存支付信息?！?/p>

Krause構(gòu)建了一個(gè)可以列出瀏覽器添加到網(wǎng)站的所有外部命令的工具，從而發(fā)現(xiàn)了Meta注入的代碼。這一工具檢測(cè)不到普通瀏覽器和大多數(shù)應(yīng)用程序的任何更改，但它在Facebook和Instagram上發(fā)現(xiàn)，這兩個(gè)應(yīng)用程序添加有多達(dá)18行代碼，這些代碼似乎能夠掃描特定的跨平臺(tái)跟蹤工具包，如果未安裝此類跟蹤工具包，則利用“Meta Pixel”來跟蹤用戶，并建立準(zhǔn)確的用戶興趣檔案。

Meta并未向用戶透露它是通過注入代碼來重新編碼網(wǎng)頁。據(jù)Krause研究，WhatsApp的應(yīng)用內(nèi)瀏覽器中沒有添加此類代碼。

“注入JavaScript”——即在用戶瀏覽網(wǎng)頁之前向網(wǎng)頁添加額外代碼的做法——通常被視為是一種惡意攻擊行為。網(wǎng)絡(luò)安全公司Feroot認(rèn)為，通過注入JavaScript代碼，“威脅主體能夠操控網(wǎng)站或Web應(yīng)用程序，并收集敏感數(shù)據(jù)，如個(gè)人身份信息 (PII) 或支付信息?！?/p>

Meta是否通過注入JavaScript代碼來收集此類敏感數(shù)據(jù)尚不清楚。Meta表示，“Meta Pixel”通常是自愿被添加到網(wǎng)站中的，從而向Instagram和Facebook上的用戶投放廣告。Meta稱，“通過Meta Pixel，您可以跟蹤您網(wǎng)站上訪問者的活動(dòng)”，并且可以收集相關(guān)數(shù)據(jù)。

Facebook在用戶點(diǎn)擊鏈接后何時(shí)開始注入代碼來跟蹤用戶，目前尚不清楚。近年來，F(xiàn)acebook與蘋果一直在公開對(duì)抗。蘋果曾表示，開發(fā)者需征得用戶許可才能在其他App和網(wǎng)站上跟蹤用戶。據(jù)Meta稱，在蘋果發(fā)表聲明后，F(xiàn)acebook的許多廣告商發(fā)現(xiàn)自己無法在社交網(wǎng)絡(luò)上準(zhǔn)確定位用戶，導(dǎo)致這些廣告商損失100億美元的收入，公司股價(jià)在今年早些時(shí)候下跌26%。

（編譯：武文潔?編輯：王旭泉）