Instagram, Reddit, Linkedin, Facebook Messenger агрессивно налегают на ресурсы вашего смартфона, перегревая его, сливают трафик гигабайтами и угрожают запустить вредоносный Java-Script без ведома. Исследование от октября 2020-го года опубликовано на MySK.
Исконно зарубежные Реддит и Линкедин нас с вами практически не касаются. Немногие пользуются этими сервисами. Тем более редкий владелец смартфона держит у себя их приложение.
А вот клиент Инстаграм широко объял просторы России за последние годы. Да и Фейсбук по умолчанию ставится на всякие разные «Сяоми» с этих ваших распродаж на «Алиэкспресс».
Какие приложения опасны?
Исследование показало конкретные факты и доказательства некачественной разработки программ для смартфонов. И вот его результаты.
Что плохого делает Инстаграм и Фейсбук на моём смартфоне?
С настройками по умолчанию Instagram и Facebook Messenger:
- - засвечивают конфиденциальные данные;
- - перегружают вычислительные ресурсы смартфонов;
- - растрачивают ценный заряд аккумулятора;
- - потребляют огромное количество трафика.
Всё дело в предварительном просмотре ссылок. Когда кто-то отправляет вам URL сайта, то приложение или его сервер «переходят» туда и затем в окне сообщений отображают картинку, заголовок, небольшое описание того, что там находится.
Не нужно спрашивать собеседника, что там откроется, если нажать и перейти. Удобно?
Удобно же! И работает это одним из двух вариантов:
- - сервис загружает прямо на смартфон изображение и другие данные с сайта, на который ссылается URL;
- - сервис использует для промежуточной загрузки назначенный им прокси-сервер.
Сейчас предпросмотр ссылки есть в любом мессенджере, хоть Телеграм, хоть Скайп, хоть Вайбер и так далее.
Вот только не во всех этих приложениях подошли к проработке функции профессионально. В Instagram и Facebook Messenger по предварительному просмотру загружается любое количество данных прямо на смартфон.
Даже если предпросматриваемый файл по ту сторону ссылки весит гигабайт, оба приложения загрузят его, ничего не подозревая о подвохе.
Вы думаете такое безрассудство невозможно? Мы тоже так думали. Исследование программных инженеров Талала Хадж Бакри (Talal Haj Bakry) и Томми Майска (Tommy Mysk) показало, что png-файл размером 24,7 ГБ — не предел для директа в Инстаграм.
Фейсбук и Инстаграм одинаково работают с предпросмотром. И помимо загрузки любого объёма данных без ограничений, эти приложения ещё и выгружают на сервер личные сведения с неизвестным сроком хранения в Сети.
Например, если вы скидываете жене ссылку на файл с паспортными данными в облачном хранилище, то мессенджер Facebook и директ в Instagram загрузят предпросмотр документа на свой сервер. Конфиденциальность? Да кого она беспокоит...
А если там не паспорт, а вирус? Эта безобидная приблуда для любителей селфи и фоточек с отпуска послушно выполняет любые задумки хакера. Всё зафиксировано на видео:
То есть предпросмотр в «личке» Инстаграм не убережёт данные вашей жены. Нет никакой защиты от эксплоитов, как у современных браузеров вроде Google Chrome.
Как сообщили Талал Хадж и Томми, они отправили видео разработчикам. Хотели предупредить о страшных уязвимостях. Но там не нашли ничего страшного и оставили всё как есть.
Что теперь делать с Instagram и Facebook?
Не спешите удалять Instagram. Правда, отключить в его клиентском приложении предпросмотр ссылок не получится (такой функции не предусмотрено).
Ограничьте потребление трафика в сутки этому приложению.
Выполняется настройка через системное управление мобильным интернетом и Wi-Fi-сетями. Также расскажите всем своим знакомым и родным, чтобы они не использовали директ в Инстаграм для обмена важными конфиденциальными сведениями. Это небезопасно.
Facebook Messenger многие не пользуются совсем. Тогда лучше вообще его отключить в системе смартфона, если удалить невозможно. Это одно из самых прожорливых до заряда батареи приложений наряду со Snapchat, Tinder и Netflix.
Откатите обновления и заблокируйте любую фоновую деятельность приложению.
Что делать с другими приложениями и их предпросмотром URL?
С возвращением ценности криптовалют вновь могут активироваться черви-майнеры (Cryptojacking). Они попадут на смартфон через прогрузку предварительного просмотра сайта по ссылке в личных сообщениях, SMS-чатах, многопользовательских конференциях и так далее.
Проверьте возможности по отключению предпросмотра ссылок в указанных приложениях, если пользуетесь ими.
