Ein unabhängiger Cybersicherheitsforscher hat gewarnt, dass die chinesische Kurzvideo-App TikTok angeblich JavaScript-Code in jeden einzelnen Link einfügt, der über seinen benutzerdefinierten In-App-Browser auf iOS geöffnet wird, der jeden Klick auf einer Webseite verfolgen kann.
Der Forscher Felix Krause, Gründer des App-Testunternehmens Fastlane, das vor fünf Jahren von Google übernommen wurde, stellte fest, dass die Ergebnisse besagten, dass, wenn der Benutzer einen Link in der TikTok-iOS-App öffnet, dieser in seinem Browser in der Anwendung geöffnet wird.
„Während Sie mit der Website interagieren, abonniert TikTok alle Tastatureingaben (einschließlich Passwörter, Kreditkarteninformationen usw.) und jede Bildschirmberührung, etwa welche Schaltflächen und Links Sie anklicken“, warnt Krause in einem Blogbeitrag, in dem er die Empfehlungen detailliert beschreibt.
TikTok iOS abonniert jeden Tastendruck (Texteingabe), der auf Websites Dritter erfolgt und in der Social-Media-App gerendert wird, fügte es hinzu. Dazu können Passwörter, Kreditkarteninformationen und andere sensible Benutzerdaten gehören ().
Aus technischer Sicht käme dies der Installation eines Keyloggers auf Websites Dritter gleich, sagte Krause.
„Dies war eine aktive Entscheidung, die das Unternehmen getroffen hat. Dies ist eine nicht triviale technische Aufgabe. Dies geschieht nicht versehentlich oder zufällig“, fügte er hinzu.
TikTok iOS abonniert jedes Tippen auf eine Schaltfläche, einen Link, ein Bild oder eine andere Komponente auf den in der TikTok-App dargestellten Websites. Verwendet eine JavaScript-Funktion, um Details zu dem Element abzurufen, auf das der Benutzer geklickt hat, beispielsweise ein Bild (document.elementFromPoint).
Krause weist jedoch sorgfältig darauf hin, dass die bloße Tatsache, dass TikTok jeden Tastendruck abonniert, den ein Benutzer auf Websites von Drittanbietern macht, die in seinem In-App-Browser angezeigt werden, nicht unbedingt bedeutet, dass mit dem Zugriff „etwas Bösartiges“ geschieht. – da es nicht feststellen konnte, ob TikTok Tastatureingaben aktiv verfolgte und ob die Daten an TikTok gesendet wurden oder nicht.
Um ein mögliches Tracking zu vermeiden, empfiehlt der Forscher, die Links nach Möglichkeit im Standardbrowser der Plattform zu öffnen, etwa Safari auf iPhone und iPad oder Chrome, wenn Sie ein Android-Gerät verwenden.
„Wenn Sie in einer App einen Link öffnen, prüfen Sie, ob die App eine Möglichkeit bietet, die aktuell in Ihrem Standardbrowser angezeigte Website zu öffnen“, schrieb Krause. „Während dieser Überprüfung bot jede App außer TikTok eine Möglichkeit, dies zu tun.“
Ein TikTok-Sprecher bestätigte zwar den fraglichen JavaScript-Code, bestritt jedoch, dass das Unternehmen ihn in seinem In-App-iOS-Browser verwendet.
Der Sprecher warf Krause vor, „falsche und irreführende“ Behauptungen über die App zu machen, und fügte hinzu, dass das fragliche JavaScript ausschließlich zum Debuggen, zur Fehlerbehebung und zur Leistungsüberwachung verwendet werde.
„Der Forscher sagt ausdrücklich, dass das JavaScript nicht bedeutet, dass unsere App etwas Bösartiges tut, und gibt zu, dass er keine Möglichkeit hat zu wissen, welche Art von Daten unser In-App-Browser sammelt“, sagte der Sprecher.
„Anders als im Bericht behauptet, erfassen wir über diesen Code keine Texteingaben oder Tastatureingaben, sondern dienen ausschließlich der Fehlersuche, Fehlerbehebung und Leistungsüberwachung.“
Das Unternehmen fügte hinzu, dass der Code Teil eines Software Development Kit (SDK) eines Drittanbieters sei, das von seiner App verwendet werde, und Funktionen enthalte, die TikTok nicht verwende.
Neben TikTok untersuchte Krause auch die Erfassung von In-App-Browserdaten durch Unternehmen wie Meta, den Eigentümer von Instagram, und Facebook. In einem Tweet sagte ein Meta-Sprecher, das Unternehmen habe „diesen Code absichtlich entwickelt, um die Transparenzentscheidungen der Menschen zum App-Tracking (ATT) auf unseren Plattformen zu respektieren.“
