Какие приложения «сигнализируют», что у вас есть VPN
Эксперты RKS Global проанализировали 30 самых популярных российских Android-приложений и выяснили, что 22 из них детектируют VPN, а 18 отправляют эту информацию на свои серверы — откуда она может быть передана силовикам по запросу, следует из исследования, с которым ознакомился The Bell.
НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ THE BELL ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА THE BELL. 18+
В начале апреля Минцифры провело совещания с крупнейшими интернет-компаниями и поручило им к 15 апреля ограничивать доступ пользователям с включенным VPN. Получается, что инфраструктура для этого уже есть.
Чаще всего VPN детектируют банковские приложения — Т-Банк, Сбербанк, ВТБ — а также приложения экосистем «Яндекса» и VK: «Браузер», «Карты», «ВКонтакте», «Одноклассники». Среди маркетплейсов — Wildberries, Ozon, MegaMarket, «Самокат». Не детектируют VPN, согласно исследованию, восемь приложений: «Яндекс Маркет», «Яндекс Еда», «Госуслуги», «Яндекс Go», «Дзен», «Почта Mail. ru», «МегаФон» и Mir Pay.
Что еще обнаружило исследование
«Яндекс Браузер» — единственное из 30 приложений, которое ищет на устройстве еще и анонимный браузер Tor.
«Самокат» и MegaMarket получают не просто статус VPN, а список всех VPN-приложений, установленных на телефоне.
В 11 приложениях — среди них Т-Банк, Сбербанк, «Госуслуги» и Rutube — обнаружен перехват событий касания экрана. В трех из них — Сбербанк, МТС и Альфа-Банк — это используется как поведенческая биометрия: собираются координаты, давление и размер нажатий. Это позволяет идентифицировать человека по манере нажатий — без логина.
Avito сканирует более 200 чужих приложений на устройстве: банки, маркетплейсы, соцсети, конкурентов.
Что делать
Идеальный вариант — два телефона: один для российских приложений, второй для всего остального с VPN. Если телефон один, на Android поможет Work Profile через приложение Shelter: так приложения из разных профилей не видят друг друга. Важно: Work Profile не скрывает сам факт включенного VPN, а только данные между профилями.
Российские приложения стоит принудительно останавливать перед тем, как включать VPN, — не просто сворачивать, а именно останавливать через настройки. Из исследованной выборки 22 приложения работают в фоне и фиксируют момент включения VPN, Proxy или Tor.
Геолокацию лучше оставить только навигаторам и только «при использовании». Доступ к контактам — отозвать у всех, кроме мессенджеров.
