In november vorig jaar bracht een rapport van het Duitse nieuwsprogramma Panorama 3 aan het licht dat verschillende extensies de browsegeschiedenis van hun gebruikers aan de hoogste bieder verkochten. Wat nu volgt is een vervolg op dat rapport, gepresenteerd door journaliste Svea Eckert en onderzoeker Andreas Dewes op de laatste DEF CON-conferentie in Las Vegas. Simpel gezegd slaagden ze erin drie miljard URL's te verzamelen van drie miljoen Duitse gebruikers, en dat alles door een neppe marketingfirma op te richten.
“Als je niet betaalt voor een dienst, ben jij het product. Deze zin is al miljoenen keren herhaald en in tientallen talen vertaald. Niet weinigen hebben haar bekritiseerd, maar naarmate we de praktijken van bepaalde bedrijven beter leren kennen, ontdekken we haar geldigheid opnieuw. We hebben het al eerder gezegd: Big Data voedt zich niet vanzelf. Het verzamelen van gegevens, het analyseren van navigatiepatronen, de telemetrie... alles gaat in dezelfde richting. En de omvang is werkelijk angstaanjagend. Stel je drie miljard URL's voor. Hele levens gaan door deze links, en als iemand de juiste manoeuvres uitvoert, kan hij ze verkrijgen zonder een cent te betalen.
Dat is wat journaliste Svea Eckert en onderzoeker Andreas Dewes demonstreerden op de laatste editie van de DEF CON-conventie. De eerste stap was het oprichten van een neppe marketingfirma. Veel afbeeldingen, een onberispelijk LinkedIn-profiel van hun 'CEO', en een 'carrièreportaal' om je bij het team aan te sluiten, zo overtuigend dat ze zelfs enkele sollicitaties ontvingen. Het laatste project van het bedrijf was een algoritme gebaseerd op deep learning dat de productplaatsing kon verbeteren, op voorwaarde dat het getraind werd met een groot datapakket. Het proces duurde iets langer dan verwacht omdat het 'bedrijf' alleen geïnteresseerd was in informatie van Duitse gebruikers, maar uiteindelijk kregen ze het gratis, dankzij een broker die geïnteresseerd was in het evalueren van het algoritme.
Het ergste is dat Dewes erin slaagde een groot deel van de gebruikers te 'de-anonimiseren'. Een sprekend voorbeeld komt via degenen die het analytische gedeelte van Twitter bezoeken: de URL bevat de accountnaam en het is de bedoeling dat alleen de gebruiker die kan zien, waardoor er automatisch een koppeling ontstaat. In het ergste geval zouden amper tien URL's voldoende zijn om iemand te identificeren, en naar waarheid hebben ze dat al gedaan. Vergeet niet dat Netflix in 2009 werd aangeklaagd vanwege een vergelijkbare situatie in 2009 en een privé-schikking moest treffen.
