Утечки чувствительных данных происходят ежедневно — только вчера стало известно о провисевших в открытом доступе год налоговых данных 20 млн россиян. Но настоящий миллиардный рынок — не краденые базы, а данные, которые технокомпании получают от пользователей и продают третьим лицам совершенно легально, о чем те могут даже и не догадываться. The Bell изучил топ-100 российского Google Play Store, чтобы понять, какие приложения собирают больше всего пользовательских данных.
Среди 100 самых популярных бесплатных приложений в российском Google Play Store удалось обнаружить 11, которые вообще не делятся пользовательскими данными со сторонними площадками. Их набор довольно случаен — от банковского приложения «ВТБ-онлайн» и навигатора Navitel до игр «Логика и дедукция» и «Танчики 1990». Приложений, которыми большинство людей пользовались бы каждый день (за исключением разве что Navitel) в этом списке нет.
Больше всего адресатов (каналов) передачи данных — 31, по подсчетам The Bell, оказалось у приложения «Читай бесплатно». Среди приложений, вошедших в топ-10, есть также приложения HeadHunter (30 потоков), Yandex и Auto.ru (по 21), ivi (18), а также «Первого канала» (15, среди них 6 незашифрованных). Всего данные в незашифрованном виде отправляют на свои серверы или серверы партнеров 12 приложений из топ-100. Большая часть — приложения телеканалов, отправляющие данные медиаизмерителю Mediascope (причем в основном через менее безопасный протокол HTTP, а не HTTPS).
Если при передаче данных используется незашифрованный канал, это недоработка — при отправке данных провайдер или сторонние лица могут «влезть» в канал передачи информации и получить доступ к данным пользователей, например, местонахождению или сетевому MAC-адресу устройства. Это позволит, например, маркетологам установить, каким устройством вы пользуетесь (дорогим или дешевым), а правоохранительным органам — отследить конкретное устройство в любой доступной им публичной сети.
97 из топ-100 приложений используют рекламные трекеры, которые помогают Google, Facebook и другим сервисам распознавать аккаунт пользователя в любых приложениях и показывать ему релевантную рекламу. Из ста самых популярных бесплатных приложений в российском Play Store вообще не используют трекеры только три. Лидер по их количеству (30) — приложение для коротких видеороликов Coub. Большая часть информации, которую они передают, идет в обезличенном виде и используется для анализа больших данных.
Доступ к данным устройства (например, фотографиям с камеры) в большинстве случаев пользователь разрешает приложению сам. В запросах на разрешения, которые мало кто читает, могут таиться неприятные условия. Например, 25% приложений из топ-100 предлагают разрешить им аудиозапись без уведомления пользователя, а часть — может даже не запрашивать разрешения на отправку аудио на сторонние сервера или делать это вопреки прямому запрету.
Полный топ-100 приложений с указанием данных о слежке
название приложения | что передает | кому передает | трекеры | разрешения |
мегафон. личный кабинет | Android ad id; Android id, описание девайса | 13 потоков, все зашифровано | 4 | 15 (6 опасных) |
сбербанк онлайн | Android ad id; Android id, описание девайса | 7 потоков, все зашифровано | 5 | 49 (10 опасных) |
штрафы пдд 2019 | нет данных | |||
Yota мобильный оператор | Android ad id; Android id, описание девайса | 8 потоков, все зашифровано | 3 | 13 (6 опасных) |
ВТБ-Онлайн | не делится данными | не передает | 3 | 29 (11 опасных) |
Афиша | Android ad id; Android id, описание девайса | 7 потоков, все зашифровано | нет данных | неизвестно |
Avito | Android ad id; описание девайса | 3 потока, все зашифровано | 16 | 16 (6 опасных) |
Tinkoff | Android ad id; Android id, описание девайса, серийный номер | 10 потоков, все зашифровано | 4 | 27 (10 опасных) |
spb briges | нет данных | нет данных | нет данных | нет данных |
My Beeline | Android ad id; описание девайса | 4 потока, все зашифровано | 5 | 12 (4 опасных) |
локацию, Android ad id; Android id, описание девайса | 21 поток, все зашифровано | нет данных | нет данных | |
Яндекс.Метро | локацию, Android ad id; Android id, описание девайса | 9 потоков, все зашифровано | 2 | 14 (3 опасных) |
Яндекс.Деньги | локацию, Android ad id; Android id, описание девайса | 16 потоков, все зашифровано | 8 | 25 (6 опасных) |
Яндекс.Поезда | локацию, Android ad id; Android id, описание девайса | 20 потоков, все зашифровано | 7 | 21 (3 опасных) |
Мегафон Радар | нет данных | |||
Aviasales | локацию, Android id, описание девайса | 8 потоков, все зашифровано | 10 | 16 (7 опасных) |
Все коды регионов + штрафы | нет данных | |||
Госуслуги | локацию, Android ad id; Android id | 10 потоков, все зашифровано | 3 | 18 (5 опасных) |
Rutaxi | локацию, Android id, описание девайса | 6 потоков, все зашифровано | 6 | 14 (8 опасных) |
локацию, Android ad id; Android id, описание девайса | 30 потоков, все зашифровано | нет данных | нет данных | |
Yandex.Taxi | локацию, Android ad id; Android id, описание девайса, IMEI, данные об использовании телефона | 14 потоков, все зашифровано | 6 | 26 (8 опасных) |
Мой МТС | локацию, Android ad id; Android id, описание девайса | 6 потоков, все зашифровано | 4 | 40 (8 опасных) |
Яндекс.Музыка | локацию, Android ad id; Android id, описание девайса | 15 потоков, все зашифровано | 6 | 22 (4 опасных) |
Почта России | описание девайса | 2 потока, все зашифровано | 3 | 19 (5 опасных) |
Альфа-банк | локацию, Android ad id; серийный номер, описание девайса | 6 потоков, все зашифровано | 6 | 20 (6 опасных) |
Okko | нет данных | |||
Экзамен ПДД | нет данных | |||
Аэроэкспресс | нет данных | 6 | 12 (5 опасных) | |
ivi | локацию, Android ad id; Android id, описание девайса | 18 потоков, все зашифровано | 9 | 10 (0 опасных) |
Yandex.Market | локацию, аккаунты, камера, тихий запуск, Android ad id; Android id, описание девайса | 5 потоков, все зашифровано | 4 | 28 (6 опасных) |
uBank | локацию, камера, контакты, серийный номер, аккаунты, Android ad id; Android id, описание девайса | 8 потоков, все зашифровано | 10 | 20 (9 опасных) |
100 к 1 | аккаунты, Android id | 1 потока, не зашифровано | нет данных | нет данных |
2GIS | локацию, Android ad id; Android id, описание девайса | 12 потоков, все зашифровано | 9 | 15 (4 опасных) |
yandex.maps widget | запрашивает локацию и доступ к памяти, но не пользуется | не передает | нет данных | нет данных |
anywayanyday | Android ad id, описание девайса | 3 потоки все зашифровано | 2 | 7 (4 опасных) |
локацию, Android ad id; Android id, описание девайса | 10 потоков, не зашифровано | 10 | 17 (2 опасных) | |
Яндекс.Погода | локацию, статус девайса, Android ad id; Android id, описание девайса | 12 потоков все зашифровано | 7 | 21 (4 опасных) |
Qiwi Кошелек | локацию, аккаунты, Android ad id; Android id, описание девайса | 8 потоков, все зашифровано | 2 | 20 (5 опасных) |
Yandex Mail | локацию, Android ad id; Android id, описание девайса | 11 потоков, все зашифровано | 3 | 42 (6 опасных, 2 специальных) |
Yandex Maps | локацию, статус девайса, Android ad id; Android id, описание девайса | 12 потоков, все зашифровано | 8 | 24 (7 опасных, 1 специальный) |
Yandex Navigator | локацию, Android ad id; Android id, описание девайса | 14 потоков, все зашифровано | 8 | 27 (6 опасных) |
Indy Cat for VK | Android ad id; Android id, описание девайса | 12 потоков, все зашифровано | нет данных | нет данных |
Rutube | Android ad id; Android id, описание девайса | 15 потоков, не зашифровано | 6 | 24 (2 специальных) |
Лучшие рецепты мира | Android ad id; описание девайса | 2 потока, все зашифровано | нет данных | нет данных |
Litres (читай бесплатно) | локацию, Android ad id; Android id, описание девайса | 31 поток, не зашифровано | 27 | 14 (3 опасных) |
Yandex Disk | локацию, Android ad id; Android id, память | 7 все зашифровано | 6 | 25 (4 опасных) |
Yandex | локацию, статус девайса, Android ad id; Android id, описание девайса | 21 все зашифровано | 5 | 31 (7 опасных) |
Кинопоиск | локацию, Android ad id; Android id, описание девайса | 14 все зашифровано | 9 | 13 (4 опасных) |
Медуза | Android ad id; описание девайса | 3 все зашифровано | 9 | 9 (1 опасное) |
Ozon | локацию, Android ad id; описание девайса | 8 все зашифровано | 9 | 16 (4 опасных) |
Cloud Mail.ru | локацию, Android ad id; Android id, описание девайса, MAC-адрес wi-fi | 8 все зашифровано | 12 | 23 (3 опасных) |
Coub | нет данных | нет данных | 30 | 16 (6 опасных) |
НТВ | Android ad id; Android id, описание девайса, MAC-адрес wi-fi | 8 (3 из них незашифровано) | 5 | 7 (1 опасное) |
Castle Clash | Android ad id; описание девайса | 2 все зашифровано | 9 | 23 (5 опасных) |
Lingualeo | локацию, Android ad id; Android id, описание девайса | 12 (все зашифровано) | 9 | 15 (2 опасных, 1 специальный) |
VK | локацию, Android ad id; Android id, описание девайса, MAC-адрес wi-fi, IMEI | 8 (все зашифровано) | 10 | 60 (12 опасных, 3 специальных) |
Navitel Navigator | локация | ни с кем ни делится | 4 | 33 (8 опасных) |
Телеканал Россия | Android ad id; Android id, описание девайса | 9 все зашифровано | нет данных | нет данных |
Первый телеканал | статус девайса, Android ad id; Android id, описание девайса, MAC-адрес wi-fi | 15 (6 незашифровано) | нет данных | нет данных |
Нарды | Android ad id; Android id, описание девайса | 23 (1 незашифрован) | нет данных | нет данных |
Poker Game: World Poker Club | аккаунты, IMEI, Android ad id; описание девайса | 9 (3 незашифрованы) | 14 | 13 (3 опасных) |
Yandex Browser with Protect | локацию, Android ad id; Android id | 8 (зашифрованы) | 8 | 42 (7 опасных, 2 специальных) |
Read book online (litres 2) | локацию, Android ad id; Android id, описание девайса | 13 (зашифрованы) | 9 | 16 (3 опасных, 1 специальный) |
GPS Navigator CityGuide | локация, IMEI | 1 (незашифрован) | 0 | 10 (5 опасных) |
Логика и дедукция | ничего не передает | ни с кем ни делится | нет данных | нет данных |
Mail.ru - email app | локацию, Android ad id; Android id, описание девайса, MAC-адрес wi-fi, IMEI | 13, все зашифрованы | 17 | 35 (5 опасных, 1 специальный) |
Gismeteo Lite | локация | 1, незашифрован | 1 | 10 (4 опасных) |
Webmoney Keeper | нет данных | нет данных | 8 | 39 (10 опасных) |
Bookmate | Android ad id; Android id, описание девайса | 7, все зашифрованы | 8 | 21 (6 опасных) |
OK | локация, аккаунты, состояние телефона, Android ad id; Android id, описание девайса, MAC-адрес wi-fi, IMEI | 14 все зашифровано | нет данных | нет данных |
Полиглот | ничего не передает | ни с кем ни делится | 0 | 6 (2 опасных) |
Russian Language - GO Keyboard | ничего не передает | ни с кем ни делится | нет данных | нет данных |
локацию, Android ad id; Android id | 7 все зашифровано | 13 | 29 (5 опасных, 2 специальных) | |
My Diet Coach - Weight Loss Motivation | локацию, Android ad id; Android id, описание девайса, тихий старт (не использует) | 13 все зашифровано | 12 | 13 (2 опасных) |
100 doors world of history | Android ad id; Android id, описание девайса | 4 все зашифровано | нет данных | нет данных |
Танчики 1990 | ничего не передает | ни с кем ни делится | нет данных | нет данных |
free video calls and chat (mail.ru) | локация, телефонный номер, Android ad id; Android id, IMEI, MAC-адрес wi-fi | 16 (зашифрован) | 8 | 47 (11 опасных, 2 специальных) |
Yandex.Translate | локация, камера, память, Android ad id; Android id, описание девайса | 8 (зашифрованы) | 5 | 21 (5 опасных, 1 специальный) |
trackchecker mobile | нет данных | нет данных | 2 | 25 (3 опасных, 2 специальных) |
livejournal | нет данных | нет данных | 5 | 5 (2 опасных) |
megogo | локацию, Android ad id; Android id, описание девайса | 9 все зашифровано | 9 | 28 (1 опасный, 2 специальных) |
call recorder | Android ad id | 1 все зашифровано | 10 | 21 (7 опасных) |
stopwatch | ничего не передает | ни с кем ни делится | нет данных | нет данных |
Радио Рекорд | локацию, Android ad id; Android id, IMEI, тихий старт и диск (не пользуется) | 5 (зашифрованы) | 6 | 32 (5 опасных, 2 специальных) |
Wild Tanks | аккаунты, Android ad id; Android id | 2 (зашифрованы) | нет данных | нет данных |
Voice Changer | Android ad id, микрофон | 1 (зашифрован) | нет данных | нет данных |
anews | локацию, Android ad id; Android id, описание девайса | 14 (зашифрованы) | 17 | 39 (5 опасных, 3 специальных) |
voyage 2 russian roads | Android ad id | 1 (не зашифрован) | нет данных | нет данных |
bitrix24 | Android id, описание девайса | 2 (зашифрован) | 4 | 48 (12 опасных, 2 специальных) |
Ebookdroid reader | ничего не передает (доступ к памяти) | ни с кем ни делится | 0 | 6 (2 опасных) |
Anti-virus Dr.Web Light | ничего не передает | ни с кем ни делится | 0 | 18 (2 опасных, 1 специальный) |
Player dream | аккаунты, память, Android ID | 1 (не зашифрован) | 20 | 15 (4 опасных, 1 специальный) |
world of tanks assistant | описание девайса | 1 (зашифрован) | 4 | 16 (5 опасных) |
gett | локацию, Android ad id; Android id, описание девайса, серийный номер | 10 (зашифрован) | 13 | 19 (7 опасных) |
Soviet Military Maps | локация | ни с кем ни делится | 2 | 12 (4 опасных) |
bubble breaker | ничего не передает | ни с кем ни делится | 2 | 3 |