Em novembro do ano passado, um informe publicado pelo programa de notícias alemão Panorama 3 revelou que várias extensões estavam vendendo os históricos de seus usuários ao melhor ofertante. O que temos agora aqui é uma espécie de continuação desse informe, apresentada pela jornalista Svea Eckert e pelo pesquisador Andreas Dewes na última conferência DEF CON de Las Vegas. Em termos simples, eles conseguiram acumular três bilhões de URLs pertencentes a três milhões de usuários alemães, e tudo o que fizeram foi criar uma empresa falsa dedicada ao marketing.
“Se você não paga por um serviço, você é o produto”. Essa frase já foi repetida milhões de vezes e traduzida para dezenas de idiomas. Não são poucos os que saíram para criticá-la, mas à medida que conhecemos melhor as práticas de certas empresas, redescobrimos sua validade. Já dissemos em ocasiões anteriores: O Big Data não se alimenta sozinho. A coleta de dados, a análise de padrões de navegação, a telemetria... tudo vai na mesma direção. E o volume é verdadeiramente assustador. Imaginemos por um momento três bilhões de URLs. Vidas inteiras passam por esses links, e se alguém executar as manobras corretas, pode obtê-los sem pagar um centavo.
Foi o que demonstraram a jornalista Svea Eckert e o pesquisador Andreas Dewes na última edição da convenção DEF CON. O primeiro passo foi criar uma empresa falsa, que em teoria se dedicava ao marketing. Muitas imagens, um perfil impecável no LinkedIn do seu “CEO”, e um “portal de carreiras” para se juntar à equipe, tão convincente que até receberam algumas candidaturas. O último projeto da empresa era um algoritmo baseado em aprendizado profundo que podia melhorar a colocação de produtos, desde que treinado com um amplo pacote de dados. O processo acabou sendo um pouco mais longo do que o esperado porque a “empresa” só estava interessada em informações de usuários alemães, mas finalmente a obtiveram sem custo, cortesia de um broker interessado em avaliar o algoritmo.
A pior parte é que Dewes conseguiu “desanonimizar” uma boa parte dos usuários. Um exemplo contundente vem daqueles que visitam a seção analítica do Twitter: o endereço contém o nome da conta, e supõe-se que apenas o usuário possa vê-lo, portanto fica vinculado automaticamente. No pior dos casos, apenas dez endereços seriam suficientes para identificar alguém, e, para ser honesto, já o fizeram. Não esqueçamos que a Netflix foi processada por uma situação semelhante em 2009 e teve que chegar a um acordo privado.
