En novembre de l'année dernière, un rapport publié par le programme d'actualités allemand Panorama 3 a révélé que plusieurs extensions vendaient les historiques de leurs utilisateurs au plus offrant. Ce que nous avons maintenant ici est une sorte de suite à ce rapport, présentée par la journaliste Svea Eckert et le chercheur Andreas Dewes lors de la dernière conférence DEF CON à Las Vegas. En termes simples, ils ont réussi à accumuler trois milliards d'adresses URL appartenant à trois millions d'utilisateurs allemands, et tout ce qu'ils ont fait a été de créer une fausse entreprise dédiée au marketing.
« Si tu ne paies pas pour un service, c'est toi le produit ». Cette phrase a été répétée des millions de fois et a été traduite dans des dizaines de langues. Ils ne sont pas rares ceux qui l'ont critiquée, mais à mesure que nous connaissons mieux les pratiques de certaines entreprises, nous redécouvrons sa validité. Nous l'avons déjà dit à plusieurs reprises : le Big Data ne se nourrit pas tout seul. La collecte de données, l'analyse des modèles de navigation, la télémétrie... tout va dans la même direction. Et le volume est véritablement effroyable. Imaginons un instant trois milliards d'adresses URL. Des vies entières passent par ces liens, et si quelqu'un exécute les manœuvres correctes, il peut les obtenir sans payer un centime.
C'est ce que la journaliste Svea Eckert et le chercheur Andreas Dewes ont démontré lors de la dernière édition de la convention DEF CON. La première étape a été de créer une fausse entreprise, qui en théorie se consacrait au marketing. Beaucoup d'images, un profil LinkedIn impeccable de son « PDG », et un « portail de carrières » pour rejoindre l'équipe, si convaincant qu'ils ont même reçu quelques candidatures. Le dernier projet de l'entreprise était un algorithme basé sur l'apprentissage profond qui pouvait améliorer le placement de produits, à condition qu'il soit entraîné avec un large ensemble de données. Le processus s'est avéré un peu plus long que prévu parce que la « société » n'était intéressée que par les informations des utilisateurs allemands, mais finalement ils l'ont obtenue sans frais, grâce à un courtier intéressé à évaluer l'algorithme.
Le pire est que Dewes a réussi à « désanonymiser » une grande partie des utilisateurs. Un exemple frappant vient de ceux qui consultent la section analytique de Twitter : l'adresse contient le nom du compte, et on suppose que seul l'utilisateur peut la voir, si bien qu'il est automatiquement lié. Dans le pire des cas, à peine dix adresses suffiraient pour identifier quelqu'un, et à vrai dire ils l'ont déjà fait. N'oublions pas que Netflix a été poursuivi pour une situation similaire en 2009, et a dû parvenir à un accord privé.
