Apple не особо следит за правилами использования API для снятия отпечатков

Apple не особо следит за правилами использования API для снятия отпечатков

Apple не особо следит за правилами использования API для снятия отпечатков

В рамках задачи по обеспечению конфиденциальности пользователей Apple начала требовать от разработчиков iOS обоснования для использования определённых API, которые могут быть применены для сбора данных об устройствах путем снятия цифровых отпечатков.

Как стало известно, компания не прилагает особых усилий для того, чтобы Google, Meta (деятельность которой в России признана экстремистской и запрещена) и Spotify соблюдали эти правила.

Отпечаток устройства вбирает в себя различную информацию о настройках и компонентах девайса, объединяя её в единый уникальный индикатор, который может быть полезен, например, для таргетированной рекламы и других вещей с учётом индивидуальных интересов пользователя.

Существуют и другие виды отпечатков пальцев, такие как цифровые, создающиеся скриптами, которые запускаются на посещаемых пользователями веб-сайтах. Они могут использоваться для нарушения конфиденциальности и отслеживания людей в интернете.

Apple отмечает важность сохранения данных, собранных с помощью API-интерфейсов, на устройстве пользователя для обеспечения конфиденциальности.

В своей документации для разработчиков компания заявила, что несмотря на необходимость использования приложениями для своей основной функциональности некоторых API, эти интерфейсы могут предоставить доступ к сигналам устройства с целью идентификации девайса или пользователя. Apple делает акцент, что снятие цифровых отпечатков запрещено вне зависимости от согласия юзера.

К таким API с поддержкой отпечатков относятся: API временных меток файлов, API времени загрузки системы, API дискового пространства, API активной клавиатуры и API пользовательских настроек.

Раньше компания отправляла предупреждения разработчикам, не следовавшим правилам, по электронной почте. Но с 1 мая 2024 года в iOS App Store не будут приниматься приложения, не указавшие в файле манифеста конфиденциальности причины использования API.

Разработчики Талал Хадж Бакри и Томми Мыска рассказали, что такие крупные компании, как Google, Meta (деятельность которой в России признана экстремистской и запрещена) и Spotify не следуют указанным правилам. Они собирают часть информации, используя API, а затем отправляют данные за пределы устройства, игнорируя требование о хранении информации на девайсе.

Издание The Register попыталось подтвердить информацию у компаний, но не получило ответа.

Apple опубликовала список уважительных причин для использования некоторых API, раскрывающих информацию, полезную для снятия отпечатков. К примеру, iOS предоставляет API под названием systemUptime, который можно запросить для получения данных о времени, прошедшем с момента последнего перезапуска устройства.

Те разработчики, которые хотят использовать этот API, должны выбрать одну из нескольких допустимых причин, указанных в файле манифеста.

Однако непонятно, проверяет ли Apple описание причин, которые вводят разработчики. Поэтому неясно, как это предотвратит использование отпечатков и повысит конфиденциальность пользователей.

Мошенники пугают дачников штрафами от имени Росреестра

Росреестр предупреждает о мошенниках, которые действуют от имени ведомства и рассылают сообщения о «штрафах» за различные нарушения земельного законодательства. Такие сообщения содержат фишинговые ссылки: при переходе по ним злоумышленники могут похитить учётные записи на различных сервисах или платёжные данные.

Как сообщает «Российская газета», злоумышленники пользуются тем, что в российском земельном законодательстве появилось много изменений. В том числе речь идёт о нормах, связанных с необработанными участками и распространением на них инвазивных растений, например борщевика Сосновского.

Мошенники рассылают сообщения, в том числе от имени Росреестра, и сообщают о якобы назначенном штрафе. В письме или сообщении обычно есть ссылка, по которой предлагается оплатить штраф со скидкой. На деле она ведёт на фишинговый ресурс, где пользователь рискует передать злоумышленникам платёжные реквизиты или доступ к учётной записи на «Госуслугах».

В дальнейшем такие аккаунты могут использоваться для оформления кредитов от имени реального владельца или для шантажа, в том числе с угрозами продажи недвижимости и других последствий.

Заместитель руководителя Росреестра Максим Смирнов отметил, что ведомство привлекает к ответственности только по результатам контрольного или надзорного мероприятия и после составления протокола об административном правонарушении. Собственника уведомляют по установленным процедурам — заказным письмом или через «Госуслуги».

Если таких уведомлений не было, сообщения из других источников следует считать мошенническими. Росреестр, как и другие официальные структуры, не рассылает уведомления о штрафах через СМС или мессенджеры.

«Ни в коем случае не переходите по подозрительным ссылкам в СМС или в чатах в мессенджерах с угрозами штрафов за нарушения на участках — по этим каналам постановления о назначении такого административного наказания не распространяются», — напомнил Максим Смирнов.

Ранее злоумышленники уже действовали от имени Росреестра. Так, осенью 2025 года была выявлена кампания с использованием реальных данных об объектах недвижимости. Цели атак различались: помимо кражи аккаунтов, мошенники могли навязывать вредоносные приложения или развивать атаку для перевода крупных сумм на подконтрольные счета.

RSS: Новости на портале Anti-Malware.ru