No es un secreto que Instagram y Facebook pueden rastrear la navegación web, a través de diversos sistemas, y ahora conocemos a fondo uno de sus trucos. Cuando abrimos una página en el navegador integrado en iOS o Android, se añade código adicional que controla la actividad, lo que serviría para mostrar publicidad personalizada.

Meta, la empresa matriz de Facebook e Instagram, no deja de utilizar todas las armas que consideran eficaces para lograr sus objetivos en materia de «privacidad» y ahora acaba de ser señalada nuevamente por prácticas de rastreo de usuarios en la web mediante la inyección de código en el navegador integrado en sus aplicaciones.

Una de las soluciones que desde Facebook e Instagram se abren las páginas web en un navegador propio, en vez de usar Safari de Apple. En ese momento, se inyecta código de seguimiento en las webs visitadas, para controlar la actividad.

La mayoría de las aplicaciones de redes sociales incluyen un navegador interno que se abre automáticamente cuando pulsamos sobre un link. De esta forma, si estamos en Instagram o Facebook, no tenemos que dirigirnos al navegador de nuestro teléfono para visitar una web externa

Las apps de Meta añaden código JavaScript, muy habitual en Internet, que es capaz de obtener muchísimos datos. Por desgracia, no se conoce qué información es recopilada, pero en teoría podría ser cualquier acción en la web, incluyendo el acceso a las contraseñas.

Esto es un riesgo de privacidad y también de seguridad, pues lo correcto sería que las webs se abriesen en el navegador del sistema, respetando la configuración elegida. 

Felix Krause, investigador independiente, quien ha descubierto el funcionamiento de los navegadores internos de dichas apps. Tal y como comenta en su blog, se dio cuenta de que la app de Instagram inyecta código para rastrear nuestra actividad en cualquier sitio web que abramos con el navegador interno de la app. De esta forma, cualquier enlace que abramos, selección de texto, capturas de pantalla, o formularios, pueden ser monitorizados por la compañía.

Según el investigador, el archivo JavaScript externo que inyecta la aplicación de Instagram es (connect.facebook.net/en_US/pcm.js), que es un código para crear un puente para comunicarse con la aplicación host.

El hecho de que Meta monitorice la actividad del usuario a través del navegador interno de sus apps es una medida más para obtener información del usuario y utilizarla "para fines publicitarios o de medición dirigida," según comentó un portavoz de la compañía al medio The Guardian.

El código inyectado permite a Meta agregar eventos de conversión desde los propios píxeles de la pantalla, para así poder recopilar toda la información. Según afirman desde la compañía, necesitan el consentimiento del usuario cuando se está realizando una compra desde el navegador interno de la aplicación y así autocompletar con los datos guardados para futuras ocasiones. 

Evita el uso del navegador interno de las apps

Tal y como afirma Krause en su blog, El hecho de que Meta inyecte código en el navegador no tiene por qué significar que recopilen información privada del usuario. Eso sí, en caso de que nos preocupen este tipo de medidas, siempre podemos optar a utilizar el navegador propio del teléfono, ya que de esta forma no es posible inyectar código de la manera en la que lo hace Meta.

Lo interesante de todo es que WhatsApp no inyecta código JavaScript de la forma en la que lo hacen Instagram y Facebook, y debido a esto, Kreuse sugiere que Meta debería hacer lo mismo con estas apps.

Para el investigador, no existe una razón legítima para integrar un navegador en las aplicaciones de Meta y obligar a los usuarios a permanecer en ese navegador cuando quieren navegar en otros sitios que no tienen nada que ver con las actividades de la firma.

Además, esta práctica de inyectar código en páginas de otros sitios web generaría riesgos en varios niveles:

• Privacidad y análisis: la aplicación host puede rastrear literalmente todo lo que sucede en el sitio web, como cada toque, pulsación de tecla, comportamiento de desplazamiento, qué contenido se copia y pega, y los datos se ven como compras en línea.
• Robo de credenciales de usuario, direcciones físicas, claves API, etc.
• Anuncios y referencias: la aplicación host puede inyectar anuncios en el sitio web, o anular la clave API de anuncios para robar ingresos de la aplicación host, o anular todas las URL para incluir un código de referencia.
• Seguridad: los navegadores llevan años optimizando la seguridad de la experiencia del usuario en la web, como mostrar el estado del cifrado HTTPS, advertir al usuario sobre sitios web no cifrados, etc.
• Inyectar código JavaScript adicional en un sitio web de terceros puede causar problemas que pueden romper el sitio web
• Las extensiones del navegador y los bloqueadores de contenido del usuario no están disponibles.
• Los enlaces profundos no funcionan bien en la mayoría de los casos.
• A menudo, no es fácil compartir un enlace a través de otras plataformas (por ejemplo, correo electrónico, AirDrop, etc.)

Fuentes:

https://www.genbeta.com/actualidad/usar-navegador-interno-instagram-facebook-puede-ser-deporte-riesgo-descubren-que-meta-inyecta-codigo-para-rastrear

https://www.elgrupoinformatico.com/noticias/instagram-facebook-rastrear-navegacion-web-t84399.html

https://blog.desdelinux.net/meta-no-deja-de-poner-el-dedo-de-encima-y-continua-con-el-rastreo-de-usuarios