Si estás acostumbrado a usar redes sociales como Facebook e Instagram en el móvil y has probado a abrir un enlace, habrás comprobado que no te redirige a tu navegador, sino a uno propio integrado en las propias aplicaciones.
Pues bien, estos navegadores personalizados inyectan código Javascript en cada sitio que visiten mediante ellos, por lo que Meta puede rastrear qué has hecho, por dónde has navegado y, esencialmente, obtener más datos de los que ya crees estar compartiendo por usar sus redes sociales.
El peligro de usar el navegador integrado
Según descubrió el investigador Felix Krause, en una entrada de su blog en la que cuenta sus hallazgos, «la aplicación de Instagram inyecta su código de seguimiento en cada sitio web que se muestra, incluso cuando se hace clic en los anuncios, lo que les permite monitorear todas las interacciones de los usuarios, como cada botón y enlace tocado, selecciones de texto, capturas de pantalla, así como cualquier entrada de formulario, como contraseñas, direcciones y números de tarjetas de crédito«.
Concretamente ha basado su investigación en las versiones para iOS de Instagram y Facebook. Si recordáis, la actualización iOS 14.5 incluyó la característica de App Tracking Transparency, que permitía desactivar el rastreo de las aplicaciones cuando se abren por primera vez desde la instalación de dicha versión del firmware. Meta no se mostró muy a favor de esta práctica, cuantificando las pérdidas que tendrían derivadas de esto en unos 10.000 millones de dólares.
De este modo, todavía parecen poder realizar cierto seguimiento mediante el uso del navegador integrado. En el caso de Facebook, no está necesariamente usando la inyección de JavaScript para recopilar datos confidenciales.
Meta ha querido defenderse y dar su versión sobre el propósito de este seguimiento en The Guardian: «El código nos permite agregar datos de usuarios antes de usarlos con fines publicitarios o de medición. No agregamos ningún píxel. El código se inyecta para que podamos agregar eventos de conversión de píxeles. Para las compras realizadas a través del navegador en la aplicación, buscamos el consentimiento del usuario para guardar la información de pago con el fin de autocompletar».
WhatsApp se libra
Según la investigación de Krause, WhatsApp no funciona de manera similar, por lo que no modifica los sitios web de terceros como sí sucede en el caso de Instagram y Facebook.
De este modo, Krause sugiere que eso mismo es lo que deberían aplicar Facebook e Instagram, o simplemente que se abran con navegadores como Safari (en el ejemplo de su investigación en iOS) o cualquier otro navegador. «Es lo mejor para el usuario y lo correcto». Hasta entonces, mejor no abrir enlaces directamente desde estas redes sociales e intenta copiar la URL y pegarla en otro navegador alternativo con menores fugas de datos privados.
Si las aplicaciones abrieran el navegador preferido de los usuarios, como Safari o Firefox, no habría forma de realizar una inyección de JavaScript similar en ningún sitio seguro. Por el contrario, el enfoque utilizado por los navegadores de aplicaciones de Instagram y Facebook «funciona para cualquier sitio web, sin importar si está encriptado o no», dijo Krause.
