Volgens de analyse gebruiken Facebook en Instagram een speciale ingebouwde browser om gebruikers te volgen.

Hoewel Apple stappen blijft ondernemen als het gaat om de algehele privacy en beveiliging van gebruikers, vooral met iOS, zijn er nog steeds enkele gebieden waarop derden kunnen profiteren van de tools van Apple. Zo is de ingebouwde webbrowser in bijvoorbeeld apps als Facebook of Instagram nog steeds gebaseerd op Apple WebKit. Maar het lijkt erop dat Meta een manier heeft gevonden om gebruikers te volgen die deze webbrowser van derden gebruiken in plaats van Safari.

Dat blijkt uit een nieuwe analyse van Felix Krause. Een breed scala aan apps gebruikt nog steeds Safari voor surfen op het web, maar er zijn andere die in plaats daarvan een optie van derden gebruiken. Zoals Facebook en Instagram. Deze sociale netwerken die eigendom zijn van Meta gebruiken hun eigen webbrowser om toegang te krijgen tot internet, in plaats van de eigen standaardwebbrowser van Apple.

En het is via deze browsers van derden, wederom gebaseerd op Apple WebKit, dat ze een op JavaScript gebaseerde trackingcode kunnen injecteren om gebruikers te volgen die toegang hebben tot die webbrowser. De tracker heeft eigenlijk de codenaam “Meta Pixel” en wordt op elke website en link geplaatst. Op basis van de bevindingen van Krause betekent dit dat Facebook en Instagram elke gebruiker kunnen volgen, ongeacht hun persoonlijke wensen voor digitale tracking.

Uit het rapport:

Het externe JavaScript-bestand dat de Instagram-app injecteert ( connect.facebook.net/en_US/pcm.js ) is een metapixel en een code om een brug te maken om te communiceren met de host-app. Het is niet alleen een pixel/afbeelding, maar daadwerkelijke JavaScript-code die wordt uitgevoerd:

Een metapixel is een stukje JavaScript-code waarmee u de acties van bezoekers op uw site kunt volgen. Het werkt door een kleine bibliotheek met functies te laden die u kunt gebruiken wanneer een sitebezoeker een actie onderneemt die u wilt volgen.

Meta Pixel kan de volgende gegevens verzamelen:

Knopklikgegevens – omvat alle knoppen waarop sitebezoekers hebben geklikt, de labels van die knoppen en alle pagina’s die zijn bezocht als gevolg van het klikken op de knoppen.
Formulierveldnamen – Bevat websiteveldnamen zoals e-mail, adres, hoeveelheid, enz. Wanneer u een product of dienst koopt. We leggen geen veldwaarden vast, tenzij u ze opneemt als onderdeel van uitgebreide overeenkomsten of optionele waarden.

Interessant is dat Facebook en Instagram de Meta Pixel helemaal niet proberen te verbergen. Inderdaad, de Facebook Developer Portal stelt dat “Meta Pixel” is voor “het volgen van bezoekersactiviteit op uw website”, waarbij elke interactie wordt gevolgd terwijl de gebruiker zich in een speciaal vervaardigde webbrowser bevindt.

Krause splitst dingen op voor “niet-technische lezers” op zich:

Kan Instagram/Facebook alles lezen wat ik online doe? Nee! Instagram kan je online activiteit alleen lezen en bekijken wanneer je een link of advertentie opent in je apps.
Steelt Facebook echt mijn wachtwoorden, adressen en creditcardnummers? Nee! Ik heb de exacte gegevens die Instagram bijhoudt niet bewezen, maar ik wilde laten zien welke gegevens ze zonder jouw medeweten kunnen krijgen. Zoals in het verleden is aangetoond, zal een bedrijf, als het de mogelijkheid heeft om gratis toegang te krijgen tot gegevens zonder toestemming van de gebruiker te vragen, dit volgen .
Hoe kan ik mezelf beschermen? Scrol omlaag naar het einde van het artikel voor alle details. Samenvatting: wanneer u een link opent vanaf Instagram (of Facebook of Messenger), vergeet dan niet om op de puntjes in de hoek te klikken om de pagina in Safari te openen.
Doet Instagram dit met opzet? Ik kan niet zeggen hoe de beslissingen binnen werden genomen. Alles wat ik kan zeggen is dat het bouwen van je eigen in-app-browser niet-triviale programmeer- en onderhoudstijd kost, veel meer dan alleen het gebruik van het privacy- en gemaksalternatief dat de afgelopen 7 jaar in de iPhone is ingebouwd.

Dit is het laatste item dat opvalt. Zoals Krause opmerkt, kost het een “niet-triviale” hoeveelheid tijd om een aangepaste browser in een applicatie te ontwikkelen, te onderhouden, enz. Dus Meta, die toezicht houdt op Facebook en Instagram, heeft een bewuste keuze gemaakt om die weg in te slaan. Waaronder in de eerste plaats ook het gebruik van de Meta Pixel-tracker.

Op het eerste gezicht lijkt het erop dat Meta Apple’s App Tracking Transparency (ATT)-functie probeerde te omzeilen, die toestemming van de iPhone-gebruiker vereist om te worden gevolgd op websites en apps die eigendom zijn van andere bedrijven. Met deze Meta Pixel in de eigen externe browser van het bedrijf kan Meta gebruikers volgen, ongeacht welke beslissingen ze in het verleden hebben genomen.

We zullen moeten zien waar dat toe leidt.