Сегодня в горячем пролетел пост про то, какой же страшный бургеркинг и как он шпионит за людьми (https://pikabu.ru/story/prilozhenie_burger_king_tayno_zapisyivaet_yekran_telefona_6021526).

Если кратко, то некий юный пикабушник обнаружил в приложении для iOS (а может и андроид) сервисы Яндекс.Метрика и AppSee, который способны фиксировать происходящее на экране и сохранять это на удаленном сервисе.

Учитывая то обилие одобрительного гула, которое разразилось в комментариях, хотелось бы внести немного ясности:

1. Запись экрана происходит только во время работы приложения. Если тот факт, что бургеркинг видит как вы листаете меню бургеркинга в официальном приложении бургеркинга вас смущает, то по-моему это нефигово отдает паранойей!

2. Касательно "информация как и видео доступна целой куче людей" - какой куче? Все данные передаются по зашифрованному протоколу HTTPS, что видно даже из приведенных автором оригинального поста скриншотов. Соответственно, "куча людей" - это:

а) Бургеркинг;

б) Администрация серверов AppSee;

в) Вы;

...

г) Надмозгу, который чисто случайно умудрился угадать полный УРЛ видеоролика, состоящий из длиннющего хэш-кода (но в таком случае ему уж проще угадать ваш логин/пароль от интернет-банкинга, а потом угадать комбинацию из отправленного СМС).

3. Про Яндекс.Метрику, от которой, по словам автора "Глаза на лоб лезут": данный сервис записывает информацию о перемещении курсора по экрану, скроллах страницы и некоторую информацию об устройстве пользователя (разрешение экрана, версию ОС и прочую информацию, которую ваше устройство ИТАК СООБЩАЕТ КАЖДОМУ САЙТУ ПРИ ПОСЕЩЕНИИ). Если же и вы считаете, что Яндекс.Метрика - это ужас, способный поработать человечество, то у меня для вас плохие новости:

Вы уже давно "под колпаком".

Там еще был момент про то, что приложение записывает видео и в момент ввода данных кредитной карты. Но:

1. Кроме слов никакого доказательства этого факта, ВНЕЗАПНО, нет (а ведь это была бы самая мякотка);

2. С учетом приведенного на скриншоте качества картинки, за сохранность данных можно вообще не беспокоиться, а догадка, что "кто-то может удаленно включить HD" - это всего лишь догадка.

Помните, что у любого автора приложений есть куда больше способов нагрести о вас конфиденциальной информации (а может они ее и нагребают), используя куда менее "палевные" методы. Ну и не стоит видеть заговоры там, где их нет - авторы апплетов просто хотят видеть, как оные ведут себя на устройствах их клиентов. Как правило, это делается с одной целью - обнаружить недоработки и исправить их, так что тут я полностью на стороне разрабов бургеркинговского приложения.

Напоследок хочется сказать, что за три месяца своего существования, автор оригинального поста уже предпринимал несколько попыток кого-нибудь "разоблачить", начиная от псевдоДурова, заканчивая излиянием на тему какой плохой Сбербанк, и какой при этом хороший Тинькоф. Ну и немного подозрительный на этом фоне заминусованный пост про яндекс/убер был... Вряд ли это засланный казачок, но определенное мнение складывается...

P.S. Что касается меня, то я вообще из провинциального казахстанского городка - о бургеркинге я могу сказать то же, что и о макдональдсе - видел в кино :) Соответственно, никак с оным не связан и в глаза никогда не видел.

P.P.S. Пардон за сумбур, просто как-то резко бомбануло от того, как много народу купилось на паранойю - старался писать быстро, пока стул не дотлел.

UPD: Ответ от Burger King Мобильное приложение Burger King с удаленным заказом не собирает персональных данных своих подписчиков.

Информация, что имеется открытая передача личных данных (данные карт) не подтверждена.

UPD (14:46): От автора поста

___________________________________

Мой блог: https://fennikami.cf, для связи со мной пишите на https://fennikami.cf/contact/

Привет! Мне 18 и я бородат в свободное время ковыряю разные приложения.

Сегодня дошли руки до распиаренного приложения Бургер Кинга (того самого, где «бургер — бесплатно» и промокоды для друзей).

Значит открываю приложение на своем айфончике, смотрю за трафиком. И обнаруживаю это:

Что это такое?

А это запрос от приложения к серверу (сверху) с инфой вроде его версии, модели телефона, времени запуска, разрешении дисплея. Вроде бы все окей, да?

Но! В ответ телефону прилетает информация (снизу) о том, как записывать видео с экрана. o_O

Причем, параметр MaxVideoLength (максимальная длина видео) указан как "0", что значит — бесконечная запись (при запущенном приложении)!

Т. е. — приложение не просто записывает экран, а делает это постоянно, и ровно таким же образом постоянно отсылает запись на сервер. Как Вам, пользователи мобильного интернета? :)

О, а вот и запись экрана отправляется на сервер!

Обратите внимание на адрес *.appsee.com/upload (о том, что такое AppSee — в конце) слева и сам файл mp4 справа (все эти квадраты — видео с сыром виде, которое в живом эфире отправляется на сервер).

Ну и вишенка на торте: экран записывается даже тогда, когда Вы вбиваете данные своей банковской карты в приложение (и это необходимо для совершения заказа).
Ну и финальная вишенка: AppSee — это такая метрика (статистика) для приложений, и чуваки специализируются на таком вот способе отслеживать приложение для разработчиков/маркетологов.

Мало того, что записывать экран ни разу не круто, так еще к этим видео имеют доступ не только разработчики приложения Burger King, а и всякая шушера вроде партнеров AppSee (то есть — совершенно левые люди), да и сам AppSee тоже.
Напомню — видео записывается даже тогда, когда вы вбиваете данные своей банковской карты. И к нему имеют доступ кто попало.

Вот так выглядит само видео:

Слегка ужато, да, но ничто не мешает серверу в какой-то момент прислать конфиг для записи видео в HD и тогда будет совсем грустно.

Как же так, Burger King? :(

P. S: Еще там страшная Яндекс.Метрика и Crashlytics, и вот если Crashlytics можно хоть как-то доверять, то Яндекс собирает инфы столько, что глаза на лоб лезут.

______________________________________________________________________________________________________
UPD: приложение Burger King записывает прикосновения к экрану и может сопоставлять их с видео на экране, и эта информация как и видео доступна целой куче людей

Мою задницу разрывает от количества горящих задач, но я всё же пытаюсь выкроить несколько минут в обеденный перерыв, чтобы написать про это.

На прошлой недели постоянный клиент обратился с одним простецким делом - мол, директолог говорит, что надо пилить метрику. Ясное дело, надо, странно, что ещё не была запилена. Два счётчика (по одному на каждый сайт), пачка целей, всё под wp - пустяк.

Получаю админские данные для входа в нулёвый аккаунт метрики, создаю два счётчика, втыкаю коды, проверяю - работает. Создаю цели, втыкаю коды-события, отправляю одну заявку - цель ушла.

Со спокойной душой пишу, что всё готово и запиваю крепким алкоголем заслуженные выходные.

В понедельник, когда работы невпроворот, почту буквально атакуют. Клиент сообщает о том, что на сайтах творится дичь - заявки не уходят, страницы работают кое-как, потенциальные клиенты паникуют и не рады. Директолог тоже плюётся (мне пересылались сообщения), мол пинайте программиста криворукого, где-то напортачил. За вчера из-за действительно большого объёма задач смог глянуть только коды на самих сайтах - счётчики и цели стоят, но вот последние в интерфейсе wp показывают ошибку (какую - не показано, просто ошибка, раньше не было). С непонятками оставляю это всё на сегодня.

Полчаса назад добрался и теперь ликую. На аккаунт в метрике два счётчика, на первый взгляд идентичные моим, но созданные небрежно в мелочах (типа название не с заглавной буквы, адрес указан не целиком), что для меня нетипично. Второй звоночек - целей нет, ни одной. Лезу изучать код сайта - идентификаторы счётчиков отличаются.

Потихоньку догоняю, что, похоже, тот самый директолог, который разводил панику, выпилил мои счётчики, воткнул свои, а потом всё НЕОЖИДАННО накрылось пиздой.

Не придал бы этому наитипичнейшему случаю такого значения, если бы подобные проделки отдельных людей не разбивали очерёдность реальных задач.

P.S. И вот я запилил пост на Пикабу, в котором пишу про ахуенное количество работы, вместо того, чтобы заняться работой. Баянометр, конечно, обругает картинку.

и была в посте ветка где шутили про истинно метрический календарь с 10-ю днями в неделю, но самое интересное, что такой календарь мог бы вполне быть вместо Римского, и возможно удобнее.

Просто красиво. Всех с Днями Рождения :)

Рисуют и оформляют дизайнеры Ксюша и Лиза (#трававлазури): https://vk.com/travavlazuri