…jesteś produktem. To szczególnie mroczna strona „darmowych” programów i usług w sieci, i mimo wezwań do większej przejrzystości, jasne jest, że praktyka ta wciąż trwa, choćby w tle. Dziennikarze z Motherboard i PCMag właśnie opublikowali śledztwo oparte na wyciekłych dokumentach jednej z spółek-córek Avast o nazwie Jumpshot. Dokumenty potwierdzają sprzedaż danych zbieranych przez antywirusa Avast, w tym wyszukiwań, kliknięć i zakupów dokonywanych online, ale jeśli jest coś równie niepokojącego jak samo wydobywanie, to lista nabywców….
Avast i Jumpshot – sprzedaż danych
Avast oficjalnie raportuje około 435 milionów aktywnych użytkowników. Głównym silnikiem tej liczby jest jego darmowy antywirus i nietrudno sobie wyobrazić, że firma stara się go monetyzować. Pytanie brzmi: jak daleko jest w stanie się posunąć? Pierwszy punkt zapalny pojawił się w październiku zeszłego roku, kiedy twórca rozszerzenia Adblock Plus, Wladimir Palant, opublikował na swoim osobistym blogu, że rozszerzenia Avast i AVG zbierały ogromne ilości danych, na takim poziomie, że można było odtworzyć pełną historię przeglądania i znaczną część zachowania użytkownika w sieci.
Po początkowym zablokowaniu przez Firefoksa Avast potwierdził, że wypuści bardziej „przejrzyste” wersje swoich rozszerzeń… ale wszystko wskazuje na to, że jego ostatecznym posunięciem było przeniesienie mechaniki zbierania danych do samego antywirusa. Śledztwo opublikowane przez Motherboard i PCMag, oparte na wyciekłych dokumentach spółki-córki Jumpshot (którą Avast przejął w 2013), ujawnia, że Avast sprzedaje wrażliwe informacje o swoich użytkownikach klientom z najwyższej półki, wśród których wyróżniają się Google, Microsoft, Pepsi, IBM, Loreal, Condé Nast i Home Depot.
Zakres zbieranych danych
Teraz zakłada się, że zbieranie danych w Avast jest opcjonalne (opt-in), ale nie brakuje użytkowników, którzy nie wiedzieli o sprzedaży tych informacji stronom trzecim. Bardziej zaawansowana analiza potwierdza pozyskiwanie wyszukiwań w Google, lokalizacji i współrzędnych GPS w Google Maps, odwiedzin profili firm na LinkedIn, filmów z YouTube oraz wejść do portali z treściami dla dorosłych (PornHub, YouPorn). Co więcej, pojawiają się również terminy używane w tych portalach, a nawet konkretne filmy. Ten mega-pakiet danych nie zawiera elementów identyfikacji osobistej, jednak nie można wykluczyć możliwości odanonimizowania niektórych użytkowników.
Handel tymi danymi odbywa się w ramach różnych linii produktów oferowanych przez Jumpshot swoim klientom. Jednym z najbardziej niepokojących jest „All Click Feed”, który pozwala zainteresowanym nabyć szczegóły dotyczące kliknięć wykrywanych przez Jumpshot w określonych domenach, takich jak Amazon, Walmart, Target, Best Buy czy eBay. Nawet na swoim koncie na Twitterze mówią o „Każde wyszukiwanie. Każde kliknięcie. Każdy zakup. Na każdej stronie.”.
Cena danych
I płacą za to prawdziwą fortunę. Nowojorska firma marketingowa, Omnicom Media, zapłaciła ponad sześć i pół miliona dolarów za dostęp do danych w latach 2019, 2020 i 2021. To, co Omnicom otrzymał do tej pory, to feedy kliknięć w 14 różnych krajach, od Stanów Zjednoczonych po Nową Zelandię. Na podstawie „zachowania podczas przeglądania” produkt „dedukuje” płeć użytkownika i jego wiek.
Anonimowość pod znakiem zapytania
I tak dochodzimy do kolejnego niepokojącego aspektu: Każda historia użytkownika ma przypisany trwały „Device ID”. Jeśli ktoś połączy wystarczającą ilość danych, ten Device ID mógłby zniweczyć wszelkie próby anonimizacji. Według Erica Goldmana, dyrektora Instytutu Prawa Wysokich Technologii na Uniwersytecie Santa Clara, „prawie niemożliwe” jest anonimizowanie lub od-identyfikacja danych. W skrócie, dopóki bardziej zaawansowana polityka przejrzystości i prywatności nie wejdzie w życie, możemy tylko zalecić odinstalowanie Avast, AVG i wszystkich związanych z nimi produktów.
Źródło: Motherboard
Źródło: PCMag
