Дата публикации:

В сети часто встречаются запросы вроде «отслеживание онлайн по жетонам на сво правда или ложь». Формулировка может показаться запутанной‚ но суть вопроса понятна: можно ли отследить пользователя‚ его местоположение или действия‚ используя «жетоны» (токены)‚ хранящиеся на его устройстве? При этом в поисковой выдаче часто попадаются результаты‚ не имеющие отношения к кибербезопасности — например‚ игры «Правда или Ложь»‚ фильмы или розыгрыши с «детекторами лжи».

В этой статье мы подробно разберем‚ что такое токены в контексте веб-технологий‚ как они реально используются для идентификации и трекинга‚ и где заканчивается техническая возможность и начинается мифология.

Что такое «жетоны» (токены) в цифровом мире?

Термин «жетон» (от англ. token) в ИТ не означает физический предмет. Это строка данных‚ выполняющая роль временного пропуска или идентификатора. Основные типы токенов‚ с которыми сталкиваеться обычный пользователь:

• Session ID (Идентификатор сессии): Случайная строка‚ которую сервер выдает браузеру после входа в аккаунт. Хранится в Cookie. Позволяет не вводить пароль на каждой странице.
• JWT (JSON Web Tokens): Самодостаточные токены‚ содержащие данные о пользователе (ID‚ права‚ срок действия)‚ подписанные криптографически. Популярны в современных API и SPA-приложениях.
• OAuth / Access Tokens / Refresh Tokens: Ключи доступа‚ которые выдают сервисы (Google‚ Яндекс‚ VK) сторонним приложениям для доступа к вашим данным без передачи пароля.
• CSRF-токены: Скрытые поля в формах для защиты от подделки межсайтовых запросов. Не идентифицируют пользователя‚ а защищают его действия.
• Advertising ID (GAID / IDFA) / Топология конфиденциальности (Topics API‚ FLEDGE): «Рекламные жетоны» для таргетинга без привязки к личности (теоретически).
• Device Fingerprinting / Client Hints: Не токены в чистом виде‚ но набор параметров (User-Agent‚ разрешение экрана‚ шрифты‚ батарея)‚ создающий уникальный «цифровой отпечаток».

Миф №1: «По токену можно узнать точное GPS-местоположение телефона»

Вердикт: ЛОЖЬ (в 99% случаев)

Сам по себе токен сессии или JWT не содержит координат GPS. Он содержит только идентификатор пользователя в базе данных сервера.

Как это работает на самом деле:

1. Сервер видит ваш токен -> узнает ваш User ID.
2. Если вы ранее дали приложению/сайту разрешение на геолокацию (через браузерный API navigator.geolocation или нативный API ОС)‚ сервер может сохранить эти координаты в профиле‚ привязав к User ID.
3. Токен — это лишь ключ к профилю‚ где могут лежать координаты‚ если вы их туда положили.

Исключение: Токены push-уведомлений (FCM/APNs) или специальные трекеры (MDM-профили на корпоративных телефонах‚ приложения «Найти iPhone» / «Найти устройство») могут инициировать запрос геолокации‚ но это требует предварительной настройки и прав супервизора/владельца аккаунта.

Миф №2: «Если у кого-то есть мой токен‚ он видит всё‚ что я делаю на экране»

Вердикт: ЛОЖЬ (но кража токена = взлом аккаунта)

Токен дает доступ к API и данным аккаунта (сообщения‚ фото‚ настройки‚ история заказов)‚ но не к видеопотоку экрана или нажатиям клавиш в реальном времени (если только это не специализированный шпионский софт с правами доступности/Accessibility‚ установленный на устройство).

Реальная угроза, Session Hijacking (Перехват сессии):

• Если злоумышленник украл ваш Session ID или Access Token (через XSS‚ MITM в открытом Wi-Fi‚ вирус-stealer)‚ он может войти в аккаунт со своего устройства без пароля и 2FA (если токен валиден).
• Он увидит историю переписок‚ но не то‚ что вы печатаете прямо сейчас (до отправки сообщения на сервер).

Миф №3: «Рекламные жетоны (Google Ad ID‚ IDFA) анонимны и безопасны»

Вердикт: ЧАСТИЧНАЯ ПРАВДА (анонимность условна)

GAID (Android) и IDFA (iOS) — это сбрасываемые идентификаторы для рекламы. Они не привязаны к имени/телефону на уровне ОС.

Но: Брокеры данных (Data Brokers) и крупные рекламные сети (Google Ads‚ Meta Ads‚ Яндекс.Директ) умеют делать кросс-девайс атрибуцию. Они сопоставляют:

• IP-адрес (домашний/рабочий).
• Вход в один и тот же аккаунт (Google‚ Facebook‚ Apple ID) на разных устройствах.
• Паттерны поведения (время активности‚ набор приложений).

В результате «анонимный жетон» склеивается с реальной личностью с вероятностью >90%; С iOS 14;5+ и Android 12+ пользователь может запретить отслеживание (App Tracking Transparency / Удаление GAID)‚ что сильно усложняет этот процесс.

Реальные сценарии отслеживания «по жетонам»

Сценарий А: Кража сессии (Session Hijacking)

Вектор атаки: Вредоносное расширение браузера‚ вирус-stealer (RedLine‚ Raccoon)‚ небезопасная публичная сеть (HTTP-сайты)‚ XSS-уязвимость на сайте.

Результат: Полный доступ к аккаунту до истечения срока токена (обычно от часов до недель).

Защита: HTTPS везде‚ 2FA (U2F/FIDO2 ключи лучше всего‚ так как они привязаны к домену и не передают секрет)‚ проверка активных сессий в настройках аккаунта‚ антивирус.

Сценарий Б: Трекпиксели и сторонние Cookie (Third-party cookies)

Суть: На сайте А стоит пиксель Яндекс.Метрики / Google Analytics / Facebook Pixel. Браузер отправляет Cookie/токен трекера на сервер трекера вместе с Referrer (URL сайта А).

Результат: Построение профиля интересов по всем сайтам‚ где стоит этот пиксель.

Статус 2026 года: Google Chrome постепенно отключает third-party cookies (Privacy Sandbox / Topics API). Safari и Firefox блокируют их давно. Трекпиксели переходят на серверную аналитику (Server-side GTM) и FPID (First Party ID).

Сценарий В: Утечка Refresh Token / OAuth Token

Если вы авторизовали стороннее приложение («Войти через Google/Яндекс/ВК») и утечка произошла у них (или вы дали права фишинговому приложению)‚ токен доступа позволяет читать почту‚ диск‚ контакты до отзыва прав.

Защита: Регулярный аудит «Приложений с доступом к аккаунту» в настройках безопасности Google / Яндекс ID / VK ID / Gosuslugi.

«На сво» — что может сделать владелец устройства?

Фраза «на сво» (на своем / на своем телефоне) подразумевает локальный анализ. Пользователь может увидеть свои токены:

• DevTools (F12) -> Application -> Cookies / Local Storage / Session Storage: Видны все токены текущего сайта.
• Настройки браузера -> Cookie / Данные сайтов: Список всех сохраненных идентификаторов.
• Специализированные приложения (Root/ADB): На Android (с root или через ADB backup) можно извлечь базы данных токенов других приложений (файлы accounts.db‚ SharedPreferences). На iOS — только с джейлбрейком или через бэкап на ПК (Keychain).

Чек-лист: Как защититься от нежелательного отслеживания по токенам

1. Включите 2FA (двухфакторку) везде. Лучше аппаратные ключи (YubiKey) или Passkeys. Токен сессии бесполезен без второго фактора при новом входе (но работает для текущей сессии!).
2. Регулярно завершайте «все остальные сессии». В настройках безопасности Google‚ Яндекс‚ VK‚ Telegram‚ WhatsApp есть кнопка «Выйти со всех устройств». Это инвалидирует все старые токены.
3. Используйте изолированные профили браузера / контейнеры. (Firefox Multi-Account Containers‚ профили Chrome). Рекламные токены из «Контейнера Покупок» не утекут в «Контейнер Банкинг».
4. Блокировщики трекеров. uBlock Origin‚ Privacy Badger‚ AdGuard — режут запросы к сторонним сборщикам токенов.
5. Очистка Cookie / Storage при закрытии браузера. Для максимальной приватности (но неудобно — каждый раз логиниться).
6. Аудит OAuth-приложений. Раз в квартал проверяйте: Google‚ Яндекс‚ VK‚ Госуслуги. Удаляйте неиспользуемые.
7. Сброс рекламного ID. Android: Настройки -> Google -> Реклама -> Сбросить рекламный ID. iOS: Настройки -> Конфиденциальность и безопасность -> Реклама -> Сбросить идентификатор.

Резюме: Правда или Ложь?

Тема «отслеживания по жетонам» часто обросла мифами из-за путаницы между идентификаторами сессии (ключи к аккаунту)‚ рекламными ID (ключи к профилю интересов) и техническими возможностями ОС (GPS‚ камера‚ микрофон).

Главная правда: Токен — это ключ от двери. Если ключ украли — в дом могут войти чужие. Если ключ лежит у вас — за ним могут наблюдать через щель (трекинговые пиксели‚ фингерпринтинг).

Главная ложь: Что токен — это «чип»‚ вшитый в тело/телефон‚ который вещает ваши координаты и мысли спутникам без вашего ведома и согласия ОС.

Безопасность, это гигиена: ротация ключей (выход из сессий)‚ надежные замки (2FA/Passkeys) и осторожность с тем‚ кому вы даете копии ключей (OAuth-приложения‚ расширения браузера).

Материал подготовлен в ознакомительных целях. Для защиты конкретных аккаунтов обратитесь к настройкам безопасности соответствующих сервисов. Персональные данные (телефоны‚ адреса‚ фамилии) в статье не используются.