Meta（Facebook）與Yandex采用高隱蔽性追蹤技術，通過本地主機套接字實施網頁到應用的跨進程通信，潛在影響全球數十億安卓用戶。該技術使Facebook、Instagram等原生安卓應用能靜默接收來自數萬網站中Meta Pixel腳本傳輸的瀏覽器元數據、Cookie及指令，成功將移動瀏覽會話關聯至用戶身份，規避了標準隱私防護機制。

技術實現：基于WebRTC的端口操控

GitHub分析指出該追蹤機制利用安卓系統對localhost套接字的無限制訪問權限，且Meta的技術方案歷經三次迭代：

• 2024年9月：HTTP請求
• 過渡階段：WebSocket通信
• 2024年11月定型：采用SDP篡改的WebRTC STUN協議

Meta Pixel JavaScript通過WebRTC將第一方_fbp Cookie傳輸至UDP 12580–12585端口范圍，由Facebook及Instagram應用維持持久監聽服務。

核心運作原理：SDP篡改

Meta將_fbp Cookie內容植入SDP協議"ice-ufrag"字段，生成發往環回地址127.0.0.1的STUN綁定請求。該數據流對Chrome DevTools等標準調試工具不可見，極大增加檢測難度。2025年5月，因Chrome宣布封禁此技術，Meta改用WebRTC TURN協議通信至12586-12591端口。

史無前例的追蹤規模

BuiltWith統計顯示Meta Pixel已部署在超578萬個網站，使_fbp成為全網第三大第一方Cookie。對全球Top 10萬網站的監測發現：美國17,223個站點、歐盟15,677個站點存在本地主機通信行為，其中75-78%網站在未經用戶明確同意時觸發該機制。

系統性突破隱私防護

該技術有效規避了Cookie清除、無痕模式及安卓權限控制等核心防線。即使未在移動瀏覽器登錄Meta服務的用戶，仍可通過安卓廣告標識符（AAID）橋接機制被追蹤。其本質是將臨時網絡標識符與持久性移動應用ID關聯，使Meta能跨網站整合不同_fbp Cookie至同一用戶畫像。

應對措施落地

經向主流瀏覽器廠商負披露后，防護方案快速推進：

• Chrome 137（2025.5.26）：封鎖被濫用端口并禁用特定SDP篡改技術
• Firefox 139：部署同等端口封鎖機制
• DuckDuckGo/Brave：基于阻止列表的現有防護體系生效

關鍵轉折點出現在2025年6月3日，Meta停止相關實踐：Facebook Pixel腳本終止向localhost發送數據包，核心代碼基本移除。Yandex在披露后同步終止本地主機追蹤。此事件引發對平臺沙盒機制缺陷的深度討論，凸顯加強安卓進程間通信安全的緊迫性——亟需解決用戶無感知的跨應用數據共享風險。