Laurențiu Barbu
Cercetătorii au putut deduce caracteristicile indivizilor cu ajutorul tool-urilor Facebook.
Facebook a anunţat vineri faptul că va înceta să mai indice estimările impactului asupra publicului în orice campanie de publicitate care foloseşte targetarea prin Custom Audience.
Aceasta vine ca urmare a faptului că o echipă de cercetători de la Universitatea Northeastern a anunţat compania, prin intermediul programului Bug Bounty de pe Facebook, despre posibila vulnerabilitate a datelor personale identificată în Custom Audiences.
Echipa compusă din cercetători de la Universitatea Northeastern şi de la MPI-SWS este aceeaşi care a identificat un alt exploit în Custom Audiences, care dusese la dezvăluirea numerelor de telefon ale utilizatorilor, în luna decembrie. Drept răspuns, Facebook a înlăturat indicele ce estima impactul asupra publicului pentru campaniile care foloseau informaţiile comerciale aferente clienţilor, dar le-au reintrodus în luna martie.
“Între timp, am analizat alte funcţii ale interfeţei pentru reclame şi felul în care s-ar putea abuza de acestea,”
a declarat Alan Mislove, profesor la Universitatea Northeastern şi consultantul echipei.
Vulnerabilitatea
Echipa a găsit un exploit prin care putea deduce caracteristicile unui individ incluse într-o listă de email-uri, adrese sau alte informaţii personale identificabile (PII) introdusă în Custom Audience. Exploitul folosea rapoartele de estimare a impactului disponibile în interfaţa pentru reclamă.
Se pare că aceste estimări conţin un rounding threshold. Odată ce acesta este identificat, un agent de publicitate ar putea să încarce o listă de email-uri direct în rounding threshold, apoi să adauge încă un email (“victima”) pe listă. Dacă estimările impactului se schimbă atunci când o caracteristică targetată este selectată, marketerul poate deduce că persoana respectivă are acea caracteristică. La fel, dacă acestea nu se schimbă, se poate deduce că persoana nu are acea caracteristică.
Facebook va înceta să mai indice estimările impactului asupra publicului în orice campanie care foloseşte targetarea prin Custom Audience
De exemplu, explica Mislove, “dacă un agent de publicitate ar vrea să-mi afle genul, ar putea să-mi adauge adresa de email într-o listă care se află pe rounding threshold. Dacă apoi selectează <<feminin>>, ar observa că estimările impactului se schimbă. Dacă selectează <<masculin>>, estimările nu s-ar schimba.”
Practic, ar fi posibil ca toate cele aproximativ 1200 de caracteristici de targetare disponibile pe Facebook care vin de la utilizatori şi de la brokerii de date să fie deduse, astfel conturându-se profilele indivizilor.
Mislove subliniază faptul că utilizatorii nu ar afla niciodată că acest lucru se întâmplă, deoarece se petrece exclusiv în interfaţa de reclamă a Facebook, şi asta fără să-l coste ceva pe agentul de publicitate.
Echipa a alertat Facebook în legătură cu problema săptămâna aceasta şi va fi recompensată prin intermediul programului de “bug bounty”. Acest lucru întâmplându-se în aceeaşi săptămână în care cei de la Facebook trec prin criza legată de Cambridge Analytica, nu e de mirare că au acţionat rapid în acest caz.
“Suntem recunoscători cercetătorilor care au descoperit problema şi am suspendat această funcţie a platformei, pentru a o remedia. Păstrarea intimităţii şi siguranţei oamenilor este importantă, de aceea luăm în serios orice potenţial abuz asupra serviciilor noastre,” mărturiseşte Mary Ku, director de product management la Facebook.
Soluţia
Cifrele legate de impactul potenţial nu vor fi dezvăluite în niciun set up de campanie care foloseşte Custom Audiences, până nu se găseşte o rezolvare, nici măcar pentru a crea o audienţă asemănătoare dintr-o listă încărcată.
Reprezentanţii Facebook spun că investighează această breşă, dar până acum nu au găsit vreo dovadă a faptului că tool-urile Facebook au fost folosite în acest fel şi nici nu este clar modul în care ei ar putea face asta.
Un purtător de cuvânt al Facebook a reiterat importanţa păstrării informaţiilor utilizatorilor în siguranţă, acesta fiind motivul pentru care a acţionat atât de rapid în vederea eliminării vulnerabilităţii.
Facebook a trimis agenţilor de publicitate notificări legate de această schimbare vineri după-amiază.
Echipa de cercetare era alcătuită din consultanţii facultăţii, Mislove şi Krishna Gummadi, şeful Networked Systems Research Group la MPI-SWS şi cercetătorii Giridhari Venkatadri, doctorand al Universităţii Northeastern şi Elena Lucherini.
Laurențiu Barbu
Social Media Specialist
Tel. 0769.656500
laurentiu.barbu@socialmedia.ro