В ходе анализа было выявлено, что 22 из 30 приложений детектируют VPN, из них 19 отправляют VPN-статус на сервер.
Это приложения Яндекс Браузер, Яндекс Карты, ВКонтакте, Мой МТС, Сбербанк Онлайн, Т-Банк, VK Видео, Wildberries, Кинопоиск, Ozon, Самокат, RuStore, ВТБ Онлайн, Yandex Music, Avito, Альфа-Банк, 2ГИС, MegaMarket, Одноклассники, MAX, Rutube, VK Music.
...
На момент исследования не найдены следы детекции VPN у 8 из 30 проанализированных приложений: Яндекс Маркет, Яндекс Еда, Почта Mail.ru, МегаФон, Mir Pay, Госуслуги, Яндекс Go, Дзен.
...
Банковские приложения — самая агрессивная группа. Т-Банк (65), Сбербанк (64) и ВТБ (59) входят в топ-10. Все три отправляют VPN-статус на серверы, используют расширенный fingerprinting устройства, детект рута и инструментов анализа. Т-Банк запрашивает 47 разрешений — больше всех. При этом 24 из них (включая автозапуск, фоновые сервисы камеры, микрофона, геолокации и установку APK) предоставляются автоматически без ведома пользователя.
...
Приложения Т-Банк, Альфа-Банк, 2ГИС, Яндекс Еда, MegaMarket, Мой МТС, Одноклассники, Госуслуги, Rutube, Сбербанк Онлайн, Yandex Music перехватывают каждое касание экрана с координатами, давлением и временем (dispatchTouchEvent). Сбербанк хранит объекты TouchData с полями pressure, size, x, y. Group-IB SDK (в Альфа-Банке, MegaMarket, Мой МТС) перехватывает все touch-события. Поведенческая биометрия позволяет идентифицировать человека по тому, как он нажимает на экран — даже без логина. Rutube записывает координаты касаний, хотя это просто видеохостинг.