Meta（Facebook）與Yandex采用高隱蔽性追蹤技術(shù)，通過本地主機套接字實施網(wǎng)頁到應(yīng)用的跨進程通信，潛在影響全球數(shù)十億安卓用戶。該技術(shù)使Facebook、Instagram等原生安卓應(yīng)用能靜默接收來自數(shù)萬網(wǎng)站中Meta Pixel腳本傳輸?shù)臑g覽器元數(shù)據(jù)、Cookie及指令，成功將移動瀏覽會話關(guān)聯(lián)至用戶身份，規(guī)避了標準隱私防護機制。

技術(shù)實現(xiàn)：基于WebRTC的端口操控

GitHub分析指出該追蹤機制利用安卓系統(tǒng)對localhost套接字的無限制訪問權(quán)限，且Meta的技術(shù)方案歷經(jīng)三次迭代：

• 2024年9月：HTTP請求
• 過渡階段：WebSocket通信
• 2024年11月定型：采用SDP篡改的WebRTC STUN協(xié)議

Meta Pixel JavaScript通過WebRTC將第一方_fbp Cookie傳輸至UDP 12580–12585端口范圍，由Facebook及Instagram應(yīng)用維持持久監(jiān)聽服務(wù)。

核心運作原理：SDP篡改

Meta將_fbp Cookie內(nèi)容植入SDP協(xié)議"ice-ufrag"字段，生成發(fā)往環(huán)回地址127.0.0.1的STUN綁定請求。該數(shù)據(jù)流對Chrome DevTools等標準調(diào)試工具不可見，極大增加檢測難度。2025年5月，因Chrome宣布封禁此技術(shù)，Meta改用WebRTC TURN協(xié)議通信至12586-12591端口。

史無前例的追蹤規(guī)模

BuiltWith統(tǒng)計顯示Meta Pixel已部署在超578萬個網(wǎng)站，使_fbp成為全網(wǎng)第三大第一方Cookie。對全球Top 10萬網(wǎng)站的監(jiān)測發(fā)現(xiàn)：美國17,223個站點、歐盟15,677個站點存在本地主機通信行為，其中75-78%網(wǎng)站在未經(jīng)用戶明確同意時觸發(fā)該機制。

系統(tǒng)性突破隱私防護

該技術(shù)有效規(guī)避了Cookie清除、無痕模式及安卓權(quán)限控制等核心防線。即使未在移動瀏覽器登錄Meta服務(wù)的用戶，仍可通過安卓廣告標識符（AAID）橋接機制被追蹤。其本質(zhì)是將臨時網(wǎng)絡(luò)標識符與持久性移動應(yīng)用ID關(guān)聯(lián)，使Meta能跨網(wǎng)站整合不同_fbp Cookie至同一用戶畫像。

應(yīng)對措施落地

經(jīng)向主流瀏覽器廠商負披露后，防護方案快速推進：

• Chrome 137（2025.5.26）：封鎖被濫用端口并禁用特定SDP篡改技術(shù)
• Firefox 139：部署同等端口封鎖機制
• DuckDuckGo/Brave：基于阻止列表的現(xiàn)有防護體系生效

關(guān)鍵轉(zhuǎn)折點出現(xiàn)在2025年6月3日，Meta停止相關(guān)實踐：Facebook Pixel腳本終止向localhost發(fā)送數(shù)據(jù)包，核心代碼基本移除。Yandex在披露后同步終止本地主機追蹤。此事件引發(fā)對平臺沙盒機制缺陷的深度討論，凸顯加強安卓進程間通信安全的緊迫性——亟需解決用戶無感知的跨應(yīng)用數(shù)據(jù)共享風險。