ありがとう！マクロ拡張：Androidでのローカルホストを介した隠れたウェブからアプリへの追跡 - https://news.ycombinator.com/item?id=44169115 - 2025年6月（308コメント） メタ、研究者が問題を指摘した後、Androidでのモバイルポート追跡技術を一時停止 - https://news.ycombinator.com/item?id=44175940 - 2025年6月（26コメント）

else { trackUserCovertly(); }

最近、ウェブサイトがこのシンプルな「クッキーを受け入れる」ボタンをどう扱ってるか見てみたんだけど、君の例みたいにやってるところが多かった。でも、もっとこういう感じだったよね {trackUser(); } else {trackUser(); } その効果はポップアップを閉じるだけだった。市販のクッキー同意ライブラリの中には、実際のクッキーをオフにする機能を持ってないものもあるみたい。

君の意見には賛成だよ。ただ、判決が出るのを待ってる間に息を止めるのはやめた方がいいね。

「サンドボックスから抜け出す」ってのが実際に起きてることかどうか、ちょっと曖昧だよね。誰もこんなことが起こるとは思ってないけど。機能自体は知られてるし、ほとんどの人が望んでることだよね。* アプリがデバイス上でローカルのTCP/UDPポートを開いて、お互いに通信できるのはいいことだと思う。これは価値のある機能だし、共有ストレージへのアクセスと同じくらい大事だよ。アプリが漏らしたくない情報は漏れないしね。* アプリは実行中のデバイスのユニークなフィンガープリントを取得できる。これも望まれてることだよね。バックエンドは誰と話してるのか知りたいし、MitMやハイジャックされたアカウントじゃないってことを確認したいから。* ブラウザもそのローカルサーバーと通信できる。これも便利だと思う。ネイティブアプリがウェブアプリにはない機能を持ってる限り、それをウェブAPIの拡張として提供できるべきだよね。要するに、FacebookのネイティブアプリがFacebookのウェブアプリ（というか、Facebookのパートナーサイトから配信されるFacebookのウェブコード）に対して、どのマシンで動いてるかを教えてるってことだよね（ユーザーアカウントのクッキーとか、履歴に関する詳細も含めて）。これはユーザーがパートナーサイトに自分について何を保存するか期待していたことに反してる。これが問題なんだよね。でも、私が見る限り、デバイスのセキュリティの問題ではないと思う。Facebookはクッキー追跡ルールの精神を破ったけど、法律には触れてない。

どうしてそう思うのか分からない。彼らがやってることはOSによって明示的に許可されてることだよ。もし違反があるとしたら、それはプライバシーやデータ収集の法律に関することだね。

いや、そういう法律は一般的に所有者層には適用されないよ。

この質問でWikipediaを調べてたら、新しい用語を見つけたんだ。「オルガニカル・カルチュラル・ディビアンス」ってやつ。>「オルガニカル・カルチュラル・ディビアンスは、企業犯罪を逸脱行為につながる社会的、行動的、環境的プロセスの一体として見る最近の哲学モデルです。」>「これは、企業文化が広い社会で正常または受け入れられていることとは異なる逸脱行為を奨励または受け入れる可能性があるという見解を反映しています。」 つまり、Facebookがやってることが犯罪かどうかは別として、彼らは自社の文化がそれをやってもいいと根本的に信じているからやってるんだよね。社会全体が同意していなくても。それが組織に対して刑事告発をする正当化になる。組織の文化が犯罪行為を助長するから、組織自体が告発されて、必要なら解散（企業の死刑）されるべきなんだ。

メタのアプリがメタのクライアントライブラリと通信して、メタ由来のクッキーを送信しているようだね。クッキー同意の観点から見ると、これはJavaScriptをホストしてクッキーを使用しているファーストパーティにのみ適用されるべきなんだけど、メタ広告クライアントにとってもそれは正しい。つまり、悪意のある行為者の主張は、メタが多くのファーストパーティ（メタの顧客）から広範にデータを収集しているってことだけど、彼らはそれを持っているんじゃないの？もし二つのファーストパーティが互いのユーザーデータを知ることを許可していないなら、法律の枠組みに沿っているんじゃないの？

最近のサービスの問題は、ウェブサイトがモバイルアプリの機能のほんの一部しか提供してないことだよね。誰か、AndroidアプリからのAPIコールを監視するまともな方法を知ってる人いる？ウェブアプリでは使えないエンドポイントを確認したいんだけど。

あなたの証拠は、余白に収まらなかったのかな？

これってまだ続いてるの？論文をざっと読んだけど、主要なハードウェアベンダーがAndroidデバイスに（時には非公開の）ライブラリをプリインストールして出荷しているという主張があるのかな（例えばメタからの）。それが広範なデータアクセス権限を持っていて、敏感なワイヤー/RESTデータを復号化する能力も含まれているってこと？それを今もやってるの？

アプリのことは忘れて、あなたの主要なブラウザは、訪問しているページにJSがある誰でもあなたのローカルネットワークのポートを開けることを許可してるよ。その機能はこれらのトラッカーによって使われたけど、それ自体がひどいセキュリティ侵害だよね。

近所の人が電話の修理を頼んできたんだけど、彼が毎分全画面の広告が出てくるのに気づいたんだ。通話を切ることも、911に電話することも、テキストを送ることもできなかった。調べたら、「7 Min Workouts」ってアプリが広告をスパムしてたんだ。すごいよね。

ウェブサイトのオーナーがページに埋め込んだ分析スクリプトを使ってるんだよ。集めたデータをfacebook.comにアップロードする代わりに、そのスクリプトがlocalhost:5678に送信して、Facebookアプリがそのポートをリッスンしてたってこと。

これらのアプリがブラウザの活動をどうやって追跡していたか知ってる？記事にある手がかりは、ウェブサイトごとに行われていて、シークレットモードでも機能していたってことだけだね。アプリはバックグラウンドでlocalhost:xxyyzzをリッスンしてる。ブラウザを開いてonesite.comに行って、次にdifferentsite.comに行くと、その二つのサイトでのあなたのIDが、Facebook機能や広告をサポートするJSがそれぞれのサイトにあって、ブラウザで実行されて、ローカルホストのアセットにリクエストを送ることで伝達されるんだ。アプリはその引数を受け取って、HQに送信する。それで、アプリにサインインしているアカウントが、この機能を使っているすべてのウェブサイトでの活動に結びつくんだ。ちなみに、FBピクセルの呼び出しは、「チェックアウト」「ただ見てる」「寄付」などの「イベント」でタグ付けされてる。確かではないけど、シークレットモードにいるってことはデータ報告の一部だと思う。何もそれを止めるものはないよ。