मेटा, फेसबुक और इंस्टाग्राम की मूल कंपनी, सभी हथियारों का उपयोग बंद नहीं करता कि वे प्रभावी मानते हैं अपने "गोपनीयता" लक्ष्यों को प्राप्त करने के लिए और अब इसे वेब पर उपयोगकर्ताओं को उनके अनुप्रयोगों में एम्बेड किए गए ब्राउज़र में कोड इंजेक्ट करके ट्रैक करने की प्रथाओं के लिए फिर से एकल किया गया है।
इस मामले को आम जनता के ध्यान में लाया गया था फ़ेलिक्स क्रॉस, एक गोपनीयता अन्वेषक। इस निष्कर्ष पर पहुँचने में, फेलिक्स क्रूस जावास्क्रिप्ट कोड इंजेक्ट किया गया है या नहीं, इसका पता लगाने में सक्षम टूल को डिज़ाइन किया गया है जब कोई उपयोगकर्ता किसी लिंक पर क्लिक करता है जो उन्हें ऐप के बाहर किसी पेज पर ले जाता है, तो इंस्टाग्राम, फेसबुक और मैसेंजर ऐप में बिल्ट-इन ब्राउज़र में खुलने वाले पेज पर।
टेलीग्राम ऐप खोलने और तीसरे पक्ष के पेज को खोलने वाले लिंक पर क्लिक करने के बाद, कोई कोड इंजेक्शन नहीं मिला। हालांकि, आईओएस और एंड्रॉइड पर इंस्टाग्राम, मैसेंजर, फेसबुक के साथ एक ही अनुभव को दोहराते समय, टूल ने इन एप्लिकेशन में निर्मित ब्राउज़र में पेज खोलने के बाद इंजेक्टेड जावास्क्रिप्ट कोड की कई लाइनें डालने की अनुमति दी।
शोधकर्ता के अनुसार, बाहरी JavaScript फ़ाइल जिसे Instagram ऐप इंजेक्ट करता है वह है (Connect.facebook.net/hi/pcm.js), जो होस्ट एप्लिकेशन के साथ संचार करने के लिए एक ब्रिज बनाने के लिए कोड है।
अधिक जानकारी, अन्वेषक ने निम्नलिखित की खोज की:
जब भी उपयोगकर्ता वेबसाइट पर टेक्स्ट का चयन करता है तो इंस्टाग्राम विवरण प्राप्त करने के लिए एक नया ईवेंट श्रोता जोड़ रहा है। यह, स्क्रीनशॉट को सुनने के साथ, इंस्टाग्राम को उस विशिष्ट जानकारी का पूरा अवलोकन देता है जिसे चुना और साझा किया गया था। Instagram ऐप iab-pcm-sdk आईडी वाले आइटम की जांच करता है, जो संभवतः "इन ऐप ब्राउज़र" की बात कर रहा है।
यदि iab-pcm-sdk आईडी वाला कोई तत्व नहीं मिलता है, तो Instagram एक नया स्क्रिप्ट तत्व बनाता है और इसके स्रोत को https://connect.facebook.net/en_US/pcm.js पर सेट करता है
इसके बाद यह आपकी वेबसाइट पर जावास्क्रिप्ट पीसीएम फ़ाइल डालने से पहले पहला स्क्रिप्ट तत्व ढूंढता है
इंस्टाग्राम वेबसाइट पर आईफ्रेम्स की भी तलाश कर रहा है, लेकिन यह क्या करता है इसकी कोई जानकारी नहीं मिली।
वहां से, क्रूस बताते हैं कि कस्टम स्क्रिप्ट को तीसरे पक्ष की वेबसाइटों में इंजेक्ट करने से हो सकता है, भले ही इस बात की पुष्टि करने के लिए कोई सबूत न हो कि कंपनी ऐसा कर रही है, मेटा को सभी उपयोगकर्ता इंटरैक्शन की निगरानी करने की अनुमति दें, जैसे प्रत्येक बटन और लिंक के साथ बातचीत, टेक्स्ट चयन, स्क्रीनशॉट, और सभी फॉर्म इनपुट जैसे पासवर्ड, पते और क्रेडिट कार्ड नंबर। साथ ही, विचाराधीन ऐप्स में निर्मित कस्टम ब्राउज़र को अक्षम करने का कोई तरीका नहीं है।
इस खोज के प्रकाशन के बाद, मेटा ने यह कहते हुए प्रतिक्रिया दी होगी कि इस कोड के इंजेक्शन से घटनाओं को जोड़ने में मदद मिलेगी, जैसे कि ऑनलाइन खरीदारी, लक्षित विज्ञापन और Facebook प्लेटफ़ॉर्म के उपायों के लिए उपयोग किए जाने से पहले। कंपनी ने कथित तौर पर कहा कि "ऐप के ब्राउज़र के माध्यम से की गई खरीदारी के लिए, हम ऑटोफिल उद्देश्यों के लिए भुगतान जानकारी को बचाने के लिए उपयोगकर्ता की सहमति मांगते हैं।"
लेकिन शोधकर्ता के लिए, ब्राउज़र को मेटा अनुप्रयोगों में एकीकृत करने का कोई वैध कारण नहीं है और उपयोगकर्ताओं को उस ब्राउज़र में रहने के लिए बाध्य करते हैं जब वे अन्य साइटों को ब्राउज़ करना चाहते हैं जिनका फर्म की गतिविधियों से कोई लेना-देना नहीं है।
इसके अलावा, अन्य वेबसाइटों के पृष्ठों में कोड डालने की यह प्रथा कई स्तरों पर जोखिम उत्पन्न करेगी:
- गोपनीयता और विश्लेषिकी: होस्ट ऐप वस्तुतः वेबसाइट पर होने वाली हर चीज को ट्रैक कर सकता है, जैसे कि हर स्पर्श, कीस्ट्रोक, स्क्रॉलिंग व्यवहार, कौन सी सामग्री कॉपी और पेस्ट की जाती है, और डेटा को ऑनलाइन खरीदारी के रूप में देखा जाता है।
- उपयोगकर्ता क्रेडेंशियल, भौतिक पते, एपीआई कुंजी आदि की चोरी।
- विज्ञापन और रेफ़रल: होस्ट ऐप वेबसाइट में विज्ञापनों को इंजेक्ट कर सकता है, या होस्ट ऐप से राजस्व चुराने के लिए विज्ञापन एपीआई कुंजी को ओवरराइड कर सकता है, या रेफ़रल कोड शामिल करने के लिए सभी यूआरएल को ओवरराइड कर सकता है।
- सुरक्षा: ब्राउज़र ने उपयोगकर्ता के वेब अनुभव की सुरक्षा को अनुकूलित करने में वर्षों बिताए हैं, जैसे HTTPS एन्क्रिप्शन स्थिति प्रदर्शित करना, उपयोगकर्ता को अनएन्क्रिप्टेड वेबसाइटों के बारे में चेतावनी देना आदि।
- किसी तृतीय पक्ष वेबसाइट में अतिरिक्त JavaScript कोड डालने से ऐसी समस्याएं हो सकती हैं जो वेबसाइट को तोड़ सकती हैं
- ब्राउज़र एक्सटेंशन और उपयोगकर्ता सामग्री अवरोधक उपलब्ध नहीं हैं।
- ज्यादातर मामलों में डीप लिंकिंग ठीक से काम नहीं करती है।
- अन्य प्लेटफार्मों (जैसे ईमेल, एयरड्रॉप, आदि) के माध्यम से लिंक साझा करना अक्सर आसान नहीं होता है।
अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं, आप परामर्श कर सकते हैं निम्नलिखित लिंक में विवरण।