Внутри приложения TikTok на iOS вставляет код JavaScript на внешние веб-сайты, что позволяет TikTok отслеживать все вводы и нажатия с клавиатуры, когда пользователь взаимодействует с определенным веб-сайтом. В TikTok говорят, что код не используется в злонамеренных целях.
Исследователь безопасности Феликс Крауз сказал, что встроенный браузер TikTok может получать любые конфиденциальные данные, например пароли и данные кредитной карты, вместе с каждым нажатием на экран.
В заявлении, направленном Forbes, представитель TikTok признал наличие кода JavaScript, о котором идет речь. Но сказал, что он используется только для отладки, устранения неисправностей и мониторинга производительности, чтобы обеспечить «оптимальный опыт пользователя».
Краузе сказал, что пользователи, желающие защитить себя от потенциального злонамеренного использования кода JavaScript во встроенном браузере, должны переключиться на просмотр ссылок в обозревателе по умолчанию, например Safari на iPhone и iPad.
По словам Краузе, Facebook и Instagram – это две другие программы, вставляющие код JavaScript во внешние веб-сайты, загруженные во встроенных браузерах их приложений.
В своем твиттере представитель материнской компании Facebook и Instagram Meta сказал, что компания намеренно разработала этот код, чтобы учесть выбор людей относительно прозрачности отслеживания приложений на наших платформах.
Краузе сказал, что он создал простой инструмент, позволяющий кому-либо проверить, вставляет ли встроенный браузер приложения код JavaScript на посещенные веб-сайты. Исследователь сказал, что пользователям нужно просто открыть приложение, которое они хотят проанализировать, зайти в него на сайт InAppBrowser.com и прочитать детали показанного отчета.
