Каждый пароль, который вы вводили на телефоне. Каждый ночной чат. Каждый поисковый запрос. Прежде чем вы нажмёте «отправить», приложение-клавиатура уже всё это увидело.

Не просто «увидело». Современные клавиатуры запоминают. Они учатся. Они загружают в облако.

Это не ошибка. Это встроено в архитектуру. Клавиатура находится ниже слоя приложений, но выше ОС. Каждое нажатие проходит через неё, прежде чем попасть в любое приложение. Она видит каждую нажатую клавишу. Она знает, в каком приложении вы печатаете. Она может читать ваш буфер обмена и ваши контакты.

Реальная проблема не в том, собирает ли она данные. А в том, что у вас нет возможности проверить, что она собирает и куда эти данные попадают.

Три задокументированных факта

В 2022 году исследователи из Тринити-колледжа в Дублине провели глубокий анализ сетевого трафика Gboard и SwiftKey. Они обнаружили, что оба приложения отправляли гораздо больше, чем просто нажатия клавиш. Это включало язык каждого слова, длину слова, точные временные метки ввода и приложение, в котором печатал пользователь. SwiftKey также сообщал дополнительные статистические данные об эффективности набора: полностью введённые слова в сравнении с принятыми предсказанными, частота набора свайпом и другие поведенческие метрики. Обе клавиатуры отправляли рекламные идентификаторы устройств пользователей обратно на свои серверы.^[1]

В 2017 году стороннее приложение-клавиатура под названием ai.type оставило свою базу данных MongoDB открытой в интернете без пароля. Почти 580 ГБ пользовательских данных были доступны любому. Утечка включала полные имена пользователей, адреса электронной почты, точное географическое местоположение, IMEI/IMSI устройства, списки контактов и более 8,6 миллиона записей нажатий клавиш — включая адреса электронной почты в паре с паролями. У разработчика было около 31 миллиона пользователей на iOS и Android.^[2]

В 2016 году клавиатура Microsoft SwiftKey столкнулась с серьёзным сбоем синхронизации. Пользователи начали получать предиктивные подсказки, содержащие чужие адреса электронной почты и номера телефонов. Microsoft была вынуждена приостановить облачную синхронизацию в качестве экстренной меры.^[3]

Если сложить эти три события вместе, вырисовывается чёткая закономерность. Сбор данных клавиатурами носит системный характер. Он охватывает содержание нажатий, поведенческие паттерны, отпечатки устройств и социальные связи. У пользователей почти нет видимости этого и ещё меньше контроля.

Два выхода

Учитывая это, практические варианты ясны:

Вариант один: перейти на клавиатуру с открытым исходным кодом, поддающуюся аудиту, работающую полностью локально и ничего не загружающую.

Возьмём AnySoftKeyboard. Исследование Тринити-колледжа в Дублине подтвердило, что она «не отправляет никакой телеметрии на серверы.^[1] Плата: никакого ИИ-предсказания, никаких умных подсказок, никакой синхронизации между устройствами. Вы меняете удобство на безопасность.

Вариант два: продолжать использовать коммерческую клавиатуру, но полностью отрезать её сетевой доступ техническими средствами.

Речь не о выключении «облачного предсказания» в настройках клавиатуры — этот переключатель работает настолько хорошо, насколько хватает самоограничения поставщика. Это значит заблокировать приложению любые сетевые соединения на уровне операционной системы. Клавиатура продолжает работать как обычно. Она просто не может отправить ни одного байта.

Ответ PlugOS

PlugOS построен на одном принципе: приватность прежде всего, ноль сбора данных.

Его встроенная клавиатура работает полностью на устройстве. Без облачного предсказания. Без загрузки пользовательских словарей. Без телеметрии. Утечка данных исключается на уровне кода.

Если вам нужно использовать стороннюю коммерческую клавиатуру, встроенный в PlugOS межсетевой экран на уровне системы позволяет задать тонкие правила сетевого доступа для каждого приложения. Отключите сетевой доступ для вашей коммерческой клавиатуры одним касанием. Она продолжает нормально печатать — но каждый байт данных остаётся запертым на устройстве, без выхода.

Это не «советовать пользователям быть осторожными». Это делает утечку данных структурно невозможной на уровне архитектуры ОС.

Источники статьи

1. Kamil Swierkosz, под руководством проф. Doug Leith. «How Private Are Android Keyboards?» Школа компьютерных наук и статистики, Тринити-колледж, Дублин, 2022. https://www.scss.tcd.ie/Doug.Leith/pubs/gboard_kamil.pdf

2. Tomáš Foltýn. «Virtual keyboard app exposes personal data of 31 million users.» WeLiveSecurity (ESET), 7 декабря 2017. https://www.welivesecurity.com/2017/12/07/keyboard-app-personal-data-31-million-users/

3. «SwiftKey sync glitch leaks strangers' email addresses and phone numbers to other users.» Android Authority, июль 2016. https://www.androidauthority.com/swiftkey-suspends-service-data-leak-706680/