« … tu es le produit. » C'est un aspect particulièrement sombre des programmes et services « gratuits » sur le Web, et malgré les appels à une plus grande transparence, il est clair que la pratique est toujours en vigueur, même si elle est en arrière-plan. Les équipes de Motherboard et PCMag viennent de publier une enquête basée sur des documents divulgués d'une filiale d'Avast appelée Jumpshot. Les documents confirment la vente de données collectées par l'antivirus Avast, y compris les recherches, les clics et les achats effectués en ligne, mais si quelque chose est aussi préoccupant que cette extraction, c'est la liste des acheteurs…
Le prix de la gratuité
Avast déclare officiellement environ 435 millions d'utilisateurs actifs. Le moteur principal derrière ce nombre est son antivirus gratuit, et il n'est pas insensé d'imaginer que l'entreprise tente de le monétiser. La question est : jusqu'où est-elle prête à aller ? Le premier point de conflit a surgi en octobre de l'année dernière, lorsque le créateur de l'extension Adblock Plus, Wladimir Palant, a publié sur son blog personnel que les extensions d'Avast et d'AVG collectaient une quantité massive de données, à un niveau tel qu'il était possible de reconstruire des historiques complets de navigation, et une grande partie du comportement de l'utilisateur sur le Web.
Une enquête publiée par Motherboard et PCMag, basée sur des documents divulgués de la filiale Jumpshot (qu'Avast a acquise en 2013), révèle qu'Avast vend des informations sensibles de ses utilisateurs à des clients de très haut profil, parmi lesquels Google, Microsoft, Pepsi, IBM, L'Oréal, Condé Nast et Home Depot.
Des données très sensibles
Maintenant, on suppose que la collecte de données chez Avast est opt-in, mais ils ne sont pas rares les utilisateurs qui ignoraient la vente de ces informations à des tiers. Une analyse plus avancée confirme l'obtention de recherches sur Google, de localisations et de coordonnées GPS dans Google Maps, de visites de profils d'entreprises sur LinkedIn, de vidéos YouTube, et de connexions à des portails de contenu pour adultes (PornHub, YouPorn). En fait, apparaissent également les termes utilisés sur ces portails, et même des vidéos spécifiques. Ce méga-paquet de données n'inclut pas d'éléments d'identification personnelle, cependant, il n'est pas possible d'écarter la possibilité de désanonymiser certains utilisateurs.
« All Click Feed » et les clients
La commercialisation de ces données se fait sous différentes lignes de produits offertes par Jumpshot à ses clients. L'un des plus perturbateurs porte le nom de « All Click Feed », et permet à tous les intéressés d'acquérir des détails sur les clics que Jumpshot détecte sur des domaines particuliers, comme Amazon, Walmart, Target, Best Buy ou eBay. Même sur son compte Twitter, ils parlent de « Chaque recherche. Chaque clic. Chaque achat. Sur chaque site. ».
Et ils paient une véritable fortune. Une entreprise de marketing new-yorkaise, Omnicom Media, a payé plus de six millions et demi de dollars pour l'accès aux données en 2019, 2020 et 2021. Ce qu'Omnicom a reçu jusqu'à présent, ce sont les flux de clics dans 14 pays différents, des États-Unis à la Nouvelle-Zélande. À partir du « comportement de navigation », le produit « déduit » le genre de l'utilisateur, et son âge.
Et nous arrivons à un autre aspect préoccupant : chaque historique d'utilisateur a un « Device ID » assigné de façon permanente. Si quelqu'un combine une quantité suffisante de données, ce Device ID pourrait défaire toute tentative d'anonymisation. Selon Eric Goldman, directeur de l'Institut des lois de haute technologie à l'Université de Santa Clara, il est « presque impossible » d'anonymiser ou de dés-identifier des données. En résumé, jusqu'à ce qu'une politique plus avancée de transparence et de confidentialité n'entre en vigueur, nous ne pouvons que recommander la désinstallation d'Avast, d'AVG et de tous leurs produits associés.
Sources : Motherboard, PCMag
