TikTok, il browser in-app è in grado di monitorare qualsiasi azione dell’utente

Secondo l’esperto di sicurezza Felix Krause, il browser personalizzato incluso in TikTok inietta codice JavaScript in siti web esterni che consente di monitorare “tutti gli input e le pressioni della tastiera”, mentre un utente interagisce con un determinato sito web, inclusi dati sensibili come password e carte di credito.

“Da un punto di vista tecnico, questo equivale all’installazione di un keylogger su siti web di terze parti”, spiega Krause, precisando però che “solo perché un’app inietta JavaScript in siti web esterni, non significa che l’app stia facendo qualcosa di dannoso.”

Sull’argomento è intervenuto un portavoce di TikTok che ha ammesso la presenza del codice JavaScript, spiegando però che viene utilizzato solo per il debug, la risoluzione dei problemi e il monitoraggio delle prestazioni per garantire una “esperienza utente ottimale”.

Secondo Krause, anche le app Facebook e Instagram inseriscono codice JavaScript in siti web esterni caricati nei rispettivi browser in-app, tracciando così l’attività degli utenti.

In un tweet, un portavoce di Meta ha spiegato che la società “ha sviluppato intenzionalmente questo codice per onorare le scelte di trasparenza del monitoraggio delle app (ATT) delle persone sulle nostre piattaforme”.

Krause ha creato un semplice strumento che consente a chiunque di verificare se un browser in-app sta iniettando codice JavaScript durante il rendering di un sito web:

1. Apri un’app che vuoi analizzare

2. Condividi l’URL https://InAppBrowser.com da qualche parte all’interno dell’app (ad esempio invia un DM ad un amico o pubblicalo nel tuo feed)

3. Tocca il link all’interno dell’app per aprirlo

4. Leggi il rapporto sullo schermo