W listopadzie zeszłego roku, opublikowany przez niemiecki program informacyjny Panorama 3 raport ujawnił, że kilka rozszerzeń sprzedawało historie przeglądania swoich użytkowników temu, kto zapłaci najwięcej. Teraz mamy swego rodzaju kontynuację tego raportu, przedstawioną przez dziennikarkę Sveę Eckert i badacza Andreasa Dewesa na ostatniej konferencji DEF CON w Las Vegas. W prostych słowach, udało im się zgromadzić trzy miliardy adresów URL należących do trzech milionów niemieckich użytkowników, a wszystko, co zrobili, to utworzyli fałszywą firmę zajmującą się marketingiem.
„Jeśli nie płacisz za usługę, to jesteś produktem”. To zdanie powtarzano miliony razy i przetłumaczono na dziesiątki języków. Niewielu je krytykowało, ale im lepiej poznajemy praktyki niektórych firm, tym bardziej odkrywamy jego słuszność. Mówiliśmy już to wielokrotnie: Big Data nie żywi się samo. Gromadzenie danych, analiza wzorców przeglądania, telemetria... wszystko zmierza w tym samym kierunku. A skala jest naprawdę przerażająca. Wyobraźmy sobie przez chwilę trzy miliardy adresów URL. Całe życie przechodzi przez te linki, a jeśli ktoś wykona odpowiednie manewry, może je zdobyć bez płacenia ani grosza.
Sztuczna firma
To właśnie pokazali dziennikarka Svea Eckert i badacz Andreas Dewes na ostatniej edycji konwencji DEF CON. Pierwszym krokiem było utworzenie fałszywej firmy, która w teorii zajmowała się marketingiem. Wiele zdjęć, nienaganny profil na LinkedInie jej „CEO” i „portal karier” do dołączenia do zespołu, tak przekonujący, że otrzymali nawet kilka podań. Ostatnim projektem firmy był algorytm oparty na głębokim uczeniu, który mógł poprawić umieszczanie produktów, pod warunkiem że trenowany byłby na obszernym pakiecie danych. Proces okazał się nieco dłuższy niż oczekiwano, ponieważ „firma” była zainteresowana tylko informacjami o niemieckich użytkownikach, ale w końcu otrzymali je za darmo, dzięki brokerowi zainteresowanemu oceną algorytmu.
Deanonimizacja użytkowników
Najgorsze jest to, że Dewes zdołał „zdeanonimizować” znaczną część użytkowników. Jaskrawym przykładem są osoby odwiedzające sekcję analityczną Twittera: adres zawiera nazwę konta i zakłada się, że tylko użytkownik może go zobaczyć, więc jest automatycznie powiązany. W najgorszym wypadku zaledwie dziesięć adresów wystarczyłoby do zidentyfikowania kogoś, i prawdę mówiąc, już to zrobili. Nie zapominajmy, że Netflix został pozwany za podobną sytuację w 2009 roku i musiał dojść do prywatnego porozumienia.
