Facebook używa Waszego numeru telefonu, chociaż nigdy mu go nie podaliście

Facebook zbiera o swoich użytkownikach tak wiele informacji na potrzeby reklamy, że nielicznym przyszło do głowy, iż do profilowania może posłużyć numer telefonu używany w uwierzytelnianiu dwuskładnikowym. A jednak.

Reklamodawcy, zamawiając reklamę na Facebooku, mogą wczytać listę numerów telefonicznych osób, do których chcą z reklamą dotrzeć. Okazuje się, że Facebook do targetowania reklam używa między innymi numerów telefonu, które podaliście tylko po to, by otrzymywać na nie kody autoryzujące logowanie. Ale to nie wszystko – do targetowania reklam używane są także numery Waszych telefonów, pobrane z książek adresowych osób, które się na to zgodziły i miały Wasz numer w spisie swoich znajomych.

Skuteczny eksperyment

Dziennikarka serwisu Gizmodo Kashmir Hill wspólnie z profesorem informatyki z Northeastern University w Bostonie Alanem Mislove postanowiła sprawdzić, czy Facebook faktycznie pozwala dotrzeć reklamodawcom do użytkowników, których dane zostały pozyskane w “mniej oczywisty sposób”. Mislove w swoich pracach badawczych skupia się głównie na badaniu prywatności portali społecznościowych, dlatego chciał przeprowadzić taki eksperyment, który udowodni, że Facebook wie na temat licznej grupy osób znacznie więcej, niż nam się to wydaje.

Autorzy eksperymentu za swój główny cel obrali “sprowokowanie” algorytmów do wyświetlenia określonej reklamy na koncie skojarzonym ze stacjonarnym numerem telefonu biura Mislove’a. Konto nie zostało połączone z numerem przez samego badacza, a jednak – ku zaskoczeniu Hill – w ciągu kilku godzin Mislove zobaczył na swoim profilu stargetowaną reklamę.

Grupa badaczy akademickich postanowiła przyjrzeć się bliżej tej sprawie, dogłębnie analizując problematykę pozyskiwania informacji przez Facebooka i targetowania reklam. Czworo naukowców: Giridhari Venkatadri, Piotr Sapieżyński i Alan Mislove z Northeastern University w Bostonie oraz Elena Lucherini z Uniwersytetu Princeton przeprowadzili serię badań, które polegały na przekazywaniu Facebookowi danych z testowych kont w celu sprawdzenia, czy informacje te mogą być wykorzystane przez potencjalnych reklamodawców. 

Okazało się, że gdy użytkownik przekazuje Facebookowi swój numer telefonu na potrzeby uwierzytelnienia dwuskładnikowego lub w celu otrzymywania powiadomień o nowych logowaniach, po kilku tygodniach numer staje się “targetowalny” przez reklamodawców – innymi słowy, można go powiązać z konkretną osobą i np. historią zakupów online w zewnętrznym sklepie.

Niestety, jeśli użytkownicy chcą lepiej zabezpieczyć swoje konto w serwisie, są przez to zmuszeni do rezygnacji z części swojej prywatności, o którą tak wcześniej dbali. Zapytana przez Hill rzeczniczka Facebooka napisała w oświadczeniu wysłanym drogą mailową, że firma “wykorzystuje informacje dostarczone przez osoby, aby zaoferować bardziej spersonalizowane doświadczenie, w tym pokazywanie lepiej skrojonych pod użytkownika reklam”. Dodała przy tym, że jeśli ktoś czuje, że jest przez to pokrzywdzony, to może (od ok. 4 miesięcy) zmienić metodę uwierzytelniania na inną, która nie wykorzystuje numeru telefonu.

Jest jeszcze gorzej

Naukowcy odkryli również, że jeśli dany użytkownik – nazwijmy go X – podzieli się z Facebookiem swoją listą kontaktów, w której będzie nieznany serwisowi numer użytkownika  – nazwijmy go Y – to reklamodawcy będą w stanie trafić ze spersonalizowaną pod ten numer telefonu reklamą. Warto przy tym odnotować, że użytkownik Y nie może uzyskać dostępu do swoich danych osobowych, ponieważ według Facebooka naruszyłoby to prywatność osoby X. Tym samym jesteśmy w sytuacji, w której nie mamy możliwości powstrzymania Facebooka przed wykorzystywaniem naszego numeru dla celów reklamowych.

Cytowany w artykule Gizmodo mieszkaniec Wielkiej Brytanii Rob Blackie próbował zmusić Facebooka do ujawnienia informacji, jakie zgromadził serwis na jego temat, jednak spotkał się z odmową, gdyż “jest to część tajnych algorytmów”, których portal nie może mu ujawnić.

W celu przetestowania, jak w rzeczywistości działa mechanizm targetowania z udziałem danych, naukowcy przeprowadzili badanie na własną rękę. Wysłali (w zasadzie udostępnili) Facebookowi listę setek numerów telefonów stacjonarnych, które były przypisane do Northeastern University. Prawdopodobieństwo, że ktoś świadomie dodał uniwersytecki numer telefonu do innego konta było niemal zerowe, natomiast było już bardziej prawdopodobne, że numery te znajdowały się w książkach kontaktowych innych osób. Tym sposobem właśnie Mislove otrzymał skierowaną do niego reklamę.

“Prawdopodobnie pokazała mu się reklama, ponieważ ktoś inny przesłał swoje dane kontaktowe, korzystając z funkcji importu kontaktów” – skomentował ujawnioną przez dziennikarkę Gizmodo sprawę rzecznik Facebooka. Firma nie podważyła jednak żadnych ustaleń dokonanych przez naukowców.

“Myślę, że wielu użytkowników nie rozumie do końca, jak działa obecnie targetowanie reklam; reklamodawcy mogą dosłownie określić, którzy użytkownicy powinni widzieć ich reklamy, wykorzystując do tego przesłane adresy e-mail, numery telefonów, imiona, daty urodzin etc.” – ocenia Mislove.

“Kiedy opisywałem tę pracę swoim kolegom, wielu informatyków było tym zaskoczonych, ale jeszcze bardziej byli zaskoczeni tym, że to nie tylko Facebook, ale także Google, Pinterest i Twitter oferują pokrewne rozwiązania” – dodał naukowiec.

Gdzie przynajmniej przejrzystość działania?

Według Mislove’a należy edukować ludzi na temat działania ukierunkowanych reklam na platformach społecznościowych. Naukowiec ocenia, że Facebook może wprowadzić do swoich usług więcej przejrzystości, np. informując użytkowników na temat tego, jakie dane z nimi powiązane posiada w swoich zasobach. Chodzi tu również o informacje na temat danych, które Facebook zbiera z różnych źródeł, jak i o cele ich gromadzenia i przetwarzania.

Jak zauważa Mislove, idealnym rozwiązaniem byłaby sytuacja, w której każdy użytkownik mógłby zobaczyć, jakimi danymi na ich temat dysponuje Facebook oraz mieć wybór względem tego, czy reklamodawcy mogą z danych o nim korzystać w celach profilowania przekazu. Facebook jednak nie ujawnia otwarcie, które z naszych danych kontaktowych wykorzystuje dla celów reklamowych, a przedstawia jedynie listę reklamodawców, którzy zamieszczają reklamy przy użyciu dodanej listy kontaktów.  

Firma Marka Zuckerberga stoi na stanowisku, że ich użytkownicy mają dużą kontrolę nad tym, jakie informacje serwis przekazuje reklamodawcom. Nie jest to jednak do końca prawda. Kiedy nieco ponad rok temu autorka artykułu Gizmodo zapytała Facebooka o to, czy wykorzystuje on “dodatkowe informacje” na temat użytkowników dla celów reklamowych, przekazano jej wymijającą odpowiedź, która nie zawierała konkretnych informacji na temat tego, czy faktycznie takie dane są gromadzone do celów profilowania i na jaką skalę.

Wobec dowodów Facebook nie zaprzecza

Sprawą opisaną przez Hill zainteresował się również serwis Tech Crunch, który postanowił skontaktować się z Facebookiem i zapytać, czy faktycznie wykorzystuje on numer telefonu z uwierzytelniania dwuskładnikowego, aby w ten sposób dostarczać profilowane reklamy użytkownikom. W odpowiedzi rzecznik firmy poinformował, że Facebook “wykorzystuje informacje, które ludzie dostarczają, aby zaoferować lepsze, bardziej spersonalizowane doświadczenia, w tym reklamy”.

“Mamy świadomość, w jaki sposób wykorzystujemy zebrane przez nas informacje, w tym dane kontaktowe, które ludzie przesyłają lub dodają do swoich kont” – dodano.

Co ciekawe, jeszcze kilka miesięcy temu Facebook zapewniał, że spam, który otrzymali użytkownicy na konto korzystające z uwierzytelniania dwuskładnikowego, był błędem.

“Ostatnią rzeczą, jakiej chcielibyśmy, jest to, aby ludzie unikali używania pomocnych funkcji bezpieczeństwa, ponieważ będą się obawiali, że otrzymają niezwiązane (z tą usługą – red.) powiadomienia” – zapewniał wówczas w swoim wpisie były szef bezpieczeństwa Facebooka Alex Stamos. 

W reakcji na słynną aferę Cambridge Analytica Facebook usunął funkcję, która umożliwiała użytkownikom znalezienie innych osób, używając do tego celu numeru telefonu komórkowego. Niestety reklamodawcy mogą nadal wykorzystywać numery telefonów do targetowania reklam. Nie wiemy również do końca, w jaki sposób Facebook zbiera informacje o użytkownikach, kojarzy informacje osobiste z kontami użytkowników oraz udostępnia informacje osobiste reklamodawcom poprzez grupy niestandardowych odbiorców.