Podstawy Bezpieczeństwa: Facebook – jak zadbać o bezpieczeństwo i prywatność

Jeśli nie przypadł wam do gustu nowy wygląd Facebooka – wiedzcie, że nie jesteście jedyni. Jeśli mimo to wciąż z niego korzystacie – zobaczcie, jak skonfigurować swoje konto, by poprawić bezpieczeństwo i ograniczyć ilość zbieranych przez serwis danych.

Pamiętacie medialną burzę sprzed ponad dwóch lat, którą wywołał Christopher Wylie, były dyrektor ds. badań w firmie Cambridge Analytica? Jak podały wówczas The New York Times i The Guardian, do firmy obsługującej kampanię Donalda Trumpa – za pośrednictwem pozornie niewinnej aplikacji thisisyourdigitallife – trafiły szczegółowe informacje z profili 50 mln użytkowników Facebooka. Potem się zresztą okazało, że problem mógł dotyczyć nawet 87 mln osób. Ich dane zostały wykorzystane do budowania określonego przekazu politycznego (z amerykańskim wątkiem afery możecie się zapoznać, czytając świeżo wydaną książkę Wyliego „Mindf*ck. Cambridge Analytica, czyli jak popsuć demokrację”). Używane w kontekście tej sprawy słowo „wyciek” tworzyło mylne wrażenie, że pobranie danych odbyło się z naruszeniem co najmniej regulaminu serwisu – ale to nieprawda, informacje o użytkownikach zostały przekazane zgodnie z ówcześnie obowiązującymi zasadami działania aplikacji na platformie. Zuckerberg musiał się z tego tłumaczyć przed amerykańskim Kongresem, nie obyło się też bez nałożenia paru kar – jednak nawet tę najwyższą (od Federalnej Komisji Handlu, sięgającą 5 mld dolarów) Facebook bez większych problemów mógł sobie wrzucić w koszty.

Dopiero nagłośnienie incydentu w mediach uzmysłowiło wielu ludziom, że model biznesowy Facebooka opiera się na komercjalizacji danych osobowych. W ciągu ostatnich dwóch lat – pod naciskiem regulatorów rynku i organizacji zajmujących się ochroną prywatności – standardy działania platformy po części się zmieniły, ale w branży profilowania i marketingu nadal nikt jej nie dorównuje (może z wyjątkiem Google). Dowodzi tego choćby ranking usługodawców zbierających najwięcej informacji o użytkownikach, opublikowany w połowie października br. przez brytyjską firmę Clario. Możliwe do pozyskania dane badacze podzielili na kilkadziesiąt kategorii – okazało się, że Facebooka interesuje 70,59% uwzględnionych przez nich danych. Aby ograniczyć zapędy serwisu w tym zakresie, warto poświęcić pół godziny i odpowiednio skonfigurować swoje konto.

Co dokładnie wie o nas Facebook

Zacznijmy od kliknięcia ikony strzałki w prawym górnym rogu okna – z menu wybieramy najpierw opcję „Ustawienia i prywatność”, następnie „Ustawienia”. Przechodząc do zakładki „Twoje informacje na Facebooku”, możemy się przekonać, jak wiele naszych danych przechowuje ten serwis. Jeśli ich zakres nas przerazi, to właśnie tu możemy dezaktywować na pewien czas lub całkiem usunąć swoje konto. Najpierw skorzystajmy jednak z opcji „Dostęp do Twoich informacji”.

Gromadzone dane Facebook dzieli na 26 kategorii. Znajdziemy wśród nich informacje, które sami dostarczyliśmy (podane przy rejestracji, opublikowane w formie postów itp.), zebrane przez serwis, podczas gdy z niego korzystaliśmy (dotyczące używanych przez nas urządzeń i sieci), a także pozyskane od firm współpracujących z Facebookiem (np. w jakie reklamy kliknęliśmy i co kupiliśmy). Pamiętacie łańcuszki, które – zgodnie z Konwencją Berneńską czy „statutem Rzymu” – miały uchronić nasze zdjęcia (i inne dane) przed zawłaszczeniem ich przez Facebooka? Mamy dla was dwie wiadomości – dobrą i złą. Po pierwsze, wszelkie prawa do materiałów, które publikujemy na Facebooku, należą do nas, co wynika zarówno z obowiązującej w Polsce ustawy o prawie autorskim, jak i regulaminu serwisu, który głosi, że użytkownik „posiada prawa własności intelektualnej (prawa autorskie lub znaki towarowe) do wszelkich treści, które tworzy lub udostępnia na Facebooku”. Po drugie jednak, akceptując wspomniany regulamin podczas rejestracji, użytkownik udziela serwisowi „licencji niewyłącznej, zbywalnej, obejmującej prawo do udzielania sublicencji, bezpłatnej i globalnej do korzystania, wykorzystywania, dystrybuowania, modyfikowania, uruchamiania, kopiowania, publicznego odtwarzania lub wyświetlania, tłumaczenia jego treści i tworzenia na ich podstawie utworów pochodnych”. Na nic więc łańcuszki – Facebook nie przestanie gromadzić naszych danych, bo się na to zgodziliśmy. Dodatkowo zobowiązuje nas w regulaminie do „podawania dokładnych informacji na swój temat”.

„Zasady dotyczące danych” precyzują, do czego Facebookowi służą gromadzone informacje. Na pierwszym miejscu znajduje się dostarczanie, personalizowanie i ulepszanie podstawowych usług serwisu. „Aby tworzyć spersonalizowane, unikatowe i trafne produkty, wykorzystujemy Twoje kontakty, preferencje, zainteresowania i działania w oparciu o dane, które uzyskujemy od Ciebie i innych osób” – czytamy w zasadach. Kolejną pozycję zajmują usługi pomiarowe i analityczne, które Facebook świadczy reklamodawcom i swoim partnerom. Dopiero na trzecim miejscu mamy zapewnianie użytkownikom bezpieczeństwa i wykrywanie podejrzanej aktywności. Nie są to niestety działania zbyt intensywne, o czym wie każdy, kto próbował zgłaszać tego typu naruszenia. Poniżej możecie zobaczyć całkiem świeżą odpowiedź Facebooka na zgłoszenie dotyczące fałszywej strony Roberta Lewandowskiego – obsługa serwisu nie dopatrzyła się w niej scamu.

Dane, które zebrał o nas Facebook, możemy pobrać na dysk w formacie HTML lub JSON – wystarczy wybrać odpowiednią opcję w zakładce „Twoje informacje na Facebooku”. W przypadku autorki tego tekstu proces tworzenia kopii o rozmiarze 95,5 MB trwał 6 min (wysoka jakość multimediów, dane od 2011 r. do teraz, intensywność korzystania z serwisu umiarkowana). Osoby bardziej udzielające się na Facebooku, komunikujące się za pomocą Messengera z wieloma znajomymi mogą poczekać na swoje archiwum dłużej. Plik da się pobrać tylko przez kilka dni, rzekomo ze względów bezpieczeństwa – jeśli się nie wyrobimy, będziemy musieli utworzyć nowy. Istnieje także możliwość przesłania kopii swoich zdjęć i filmów do innego serwisu. Na liście dostępnych usług zewnętrznych znajdziemy Dropbox, Koofr, Zdjęcia Google i Backblaze B2.

Na szczególną uwagę zasługują informacje o naszej aktywności poza Facebookiem – wybierając tę opcję, możemy sprawdzić, jakie dane przekazały serwisowi firmy korzystające z udostępnianych przez niego narzędzi biznesowych, takich jak Piksel Facebooka, SDK Facebooka i Logowanie przez Facebooka. Sam serwis tłumaczy to na przykładzie Joanny, która kupuje buty w sklepie internetowym. Sklep – używając wspomnianych narzędzi – powiadamia o tej interakcji Facebooka, a ten zapisuje ją na koncie użytkowniczki jako „odwiedziny w witrynie z odzieżą i obuwiem” oraz „dokonanie zakupu”. W efekcie Joannie wyświetla się reklama kuponu ze zniżką na następne zakupy. Niby fajnie, ale czy naprawdę chcecie, by serwis przechowywał tego typu dane, zwłaszcza że na stronie pomocy można przeczytać, że „ze względów technicznych i w trosce o dokładność informacji” nie pokazuje całej otrzymanej aktywności? Aby ograniczyć zbieranie danych poza Facebookiem, możemy skorzystać z dwóch opcji: „Wyczyść historię” i „Zarządzaj przyszłą aktywnością”.

Jak zadbać o bezpieczeństwo swego konta

Wiedza o tym, jak wiele naszych danych zgromadził Facebook, motywuje do zatroszczenia się o bezpieczeństwo założonego w tym serwisie konta. Konfigurację zaczynamy od przejścia do zakładki „Bezpieczeństwo i logowanie”, gdzie możemy m.in. sprawdzić, czy przypadkiem nie jesteśmy zalogowani na więcej niż jednym urządzeniu (podawane przez Facebooka miejsca logowania mogą nie odzwierciedlać rzeczywistego położenia użytkownika). Z wcześniej zainicjowanych sesji warto się wylogować.

Aktywujemy tu także uwierzytelnianie dwuskładnikowe – cały proces dokładnie opisaliśmy w jednym z artykułów z cyklu Podstawy Bezpieczeństwa. Może się okazać, że część aplikacji, do których logujemy się przy użyciu Facebooka (w tym Spotify, Xbox czy Skype), nie będzie obsługiwać dwuetapowej weryfikacji. Aby temu zaradzić, wystarczy skorzystać z opcji „Hasła do aplikacji” i wygenerować dla każdej kod dostępu – pamiętając o tym, że wszystkie będą przekazywać Facebookowi dane o naszej aktywności. Może warto zrezygnować z logowania się do zewnętrznych serwisów przez Facebooka? W sekcji „Autoryzowane logowania” znajdziemy natomiast listę urządzeń i usług, które nie wymagają od nas kodu uwierzytelniającego (ponieważ gdzieś kiedyś tak zaznaczyliśmy). Kolejnym krokiem będzie więc sprawdzenie, czy nie trzeba wprowadzić na niej jakichś zmian. Warto też zainteresować się możliwością otrzymywania powiadomień o nierozpoznanych logowaniach – pozwoli to szybko zablokować potencjalnego intruza próbującego przejąć nasze konto. Więcej szczegółów nt. lokalizacji, aktywnych sesji, logowań i rozpoznanych urządzeń znajdziemy w „Dzienniku aktywności”, do którego możemy dotrzeć z poziomu menu w prawym górnym rogu okna. Aby zobaczyć interesujące nas dane, musimy skorzystać z opcji filtrowania.

Wróćmy jednak do ustawień związanych z bezpieczeństwem – Facebook umożliwia wybranie od 3 do 5 zaufanych znajomych, którzy udzielą nam pomocy w przypadku utraty dostępu do konta np. w wyniku ataku phishingowego. Jeśli mamy wątpliwości, czy któraś z otrzymanych przez nas wiadomości pochodziła od Facebooka, to przewijając stronę w dół, dotrzemy do opcji, która pozwala to sprawdzić. Możemy też podać swój publiczny klucz OpenPGP i zaznaczyć, by serwis wysyłał do nas powiadomienia, szyfrując e-maile tym właśnie kluczem.

Prywatność na Facebooku? To skomplikowane

Facebook – całkiem słusznie – cieszy się opinią miejsca, w którym o prywatność trzeba się postarać. Sprawy nie ułatwia nagromadzenie w ustawieniach linków prowadzących do wciąż tych samych opcji. Aby dostać się na widoczną poniżej stronę, możemy np. kliknąć ikonę strzałki w prawym górnym rogu okna, z menu wybrać najpierw opcję „Ustawienia i prywatność”, następnie „Kontrola prywatności”. Ale możemy też wybrać „Ustawienia i prywatność”, potem „Prywatność – skróty” i na końcu „Sprawdź kilka istotnych ustawień prywatności”. Inna ścieżka to „Ustawienia i prywatność”, w kolejnym kroku „Ustawienia”, później „Prywatność” i wreszcie „Sprawdź kilka ważnych ustawień”. Brak przejrzystości sprawia, że użytkownik może się pogubić i coś przeoczyć. Trafiając któryś raz z rzędu na tę samą stronę, może dojść do wniosku, że sprawdził już wszystko, co niekoniecznie musi zgadzać się z prawdą.

Zajrzyjmy w ustawieniach do zakładki „Prywatność”, gdzie – z większą dokładnością niż w przypadku „Kontroli prywatności” – będziemy mogli określić, kto zobaczy nasze posty, listę znajomych, a także osoby i strony, które obserwujemy. Ograniczymy tu również widoczność postów udostępnionych przez nas wcześniej szerszemu gronu osób i ustalimy, w jaki sposób inni będą mogli nawiązać z nami kontakt (możemy np. zaznaczyć, że nie zgadzamy się na wyszukiwanie po podanym numerze telefonu lub adresie e-mail). W zakładce „Rozpoznawanie twarzy” – jak łatwo się domyślić – możemy zapobiec rozpoznawaniu nas na zdjęciach i filmach. Na stronie pomocy Facebook wyjaśnia, że jednym z celów tej funkcji jest ochrona użytkownika „przed podszywaniem się i niewłaściwym wykorzystaniem tożsamości”. Gdyby to faktycznie działało, nie mielibyśmy w serwisie tylu fałszywych stron celebrytów (pamiętacie przykład z Lewandowskim?). Bez obaw idźmy więc dalej – w zakładce „Oś czasu i oznaczanie” możemy zabronić innym osobom publikowania postów na naszym profilu, to samo dotyczy komentarzy zawierających określone słowa. Prób oznaczania nas w cudzych postach i na zdjęciach nie wyeliminujemy, ale możemy je wszystkie zweryfikować (i w razie potrzeby usunąć oznaczenie).

W zakładce „Posty publiczne” możemy pozwolić (bądź nie) na obserwowanie i komentowanie udostępnianych przez nas postów publicznych osobom spoza grona znajomych – jeśli zależy nam na większej prywatności, to lepiej oczywiście nie pozwalać. Jeśli zablokowaliśmy kiedykolwiek na Facebooku któregoś z użytkowników, aplikację lub stronę, to możemy nimi zarządzać w zakładce „Blokowanie”. Możemy tu także stworzyć listę osób z ograniczeniami dostępu – dodając niektórych znajomych do tej listy, sprawimy, że będą oni widzieć wyłącznie nasze posty publiczne.

Podcinanie skrzydeł reklamodawcom

Jak pewnie zauważyliście, omawiane dotychczas opcje skupiały się głównie na interakcjach z innymi ludźmi. Z kolei wprowadzając zmiany w zakładce „Lokalizacja”, ograniczymy śledzenie naszej aktywności przez samego Facebooka. Serwis tworzy historię lokalizacji w oparciu o dane, które pozyskuje z używanych przez nas urządzeń mobilnych. Wykorzystuje ją do wyświetlania trafniejszych reklam i oferowania użytkownikom takich usług jak „Znajomi w pobliżu” czy „Znajdź Wi-Fi” (które pozwalają mu zdobyć jeszcze więcej danych). Osoby dbające o prywatność mogą wyłączyć historię lokalizacji i usunąć wcześniej zarejestrowane dane o swoim położeniu.

Innym źródłem informacji o użytkownikach są aplikacje, strony, gry i usługi, do których logujemy się za pomocą Facebooka. Możemy nimi zarządzać w zakładkach „Aplikacje i witryny”, „Gry błyskawiczne” oraz „Integracje biznesowe”. Serwis dzieli je na aktywne, wygasłe i usunięte. Aktywne mogą w każdej chwili zażądać danych, które zgodziliśmy się im udostępniać – dlatego przed skorzystaniem z dowolnej aplikacji na Facebooku powinniśmy sprawdzić, jakie dane ją interesują i kto będzie mógł zobaczyć posty dodawane przez nią na naszym profilu. Do sekcji „Wygasłe” trafiają aplikacje, których nie używaliśmy przez co najmniej 90 dni, a do sekcji „Usunięte” – te, które sami usunęliśmy z konta od 2015 r. Choć tracą one dostęp do nowych danych o charakterze prywatnym, to w obu przypadkach wciąż mogą przechowywać nasze imię i nazwisko, zdjęcie profilowe, zdjęcie w tle, identyfikator, a także (niestety) informacje, które im udostępniliśmy w trakcie używania. Facebook nie widzi potrzeby zapobiegania takim praktykom i niefrasobliwie radzi, żebyśmy w tej sprawie kontaktowali się z twórcami poszczególnych aplikacji, stron i gier. To dobry powód, by ograniczyć korzystanie z nich na Facebooku lub zupełnie wyłączyć taką możliwość (oznacza to również rezygnację z używania wtyczek społecznościowych na innych witrynach, ale zapewniamy, że da się bez tego żyć).

Na koniec wprowadźmy parę zmian w naszych preferencjach dotyczących treści reklamowych. Facebook wyświetla użytkownikom reklamy w oparciu o ich aktywność w serwisie i usługach z nim powiązanych (np. na Instagramie), bierze pod uwagę polubione przez nich treści, miejsca, w których się meldowali itp. Uwzględnia też interakcje użytkowników ze stronami firm, które z nim współpracują lub używają jego narzędzi biznesowych. Odbywa się to bez przekazywania reklamodawcom danych osobowych, na podstawie których możliwa byłaby identyfikacja poszczególnych osób. Reklamodawca określa oczekiwaną grupę odbiorców, a Facebook – bazując na posiadanych informacjach – taką grupę znajduje. Bardziej mu się opłaca aktywnie z naszych danych korzystać, niż je komuś sprzedać. Zmieniając preferencje w zakładce „Reklamy”, nie spowodujemy, że serwis wyświetli ich nam mniej, utrudnimy jednak firmie sprofilowanie nas w odpowiedni sposób (i co za tym idzie, lepiej zadbamy o swoją prywatność). Co konkretnie możemy zrobić? W sekcji „Reklamodawcy” znajdziemy informacje o reklamach, w które – celowo lub przypadkiem – kliknęliśmy. Za pomocą przycisku „Ukryj reklamy” możemy sprawić, że treści reklamowe danej firmy nie będą nam więcej wyświetlane. W sekcji „Tematy reklam” możemy wybrać opcję wyświetlania mniejszej liczby reklam dotyczących określonych tematów (na razie do wyboru są tylko: alkohol, rodzicielstwo i zwierzęta domowe).

Najwięcej zdziałamy w sekcji „Ustawienia reklam”. Wybierając „Dane dotyczące Twojej aktywności od partnerów”, możemy zapobiec wyświetlaniu treści reklamowych na podstawie naszych interakcji poza Facebookiem (przypomnijcie sobie wcześniejszy przykład z Joanną kupującą buty). W sekcji „Kategorie użyte w celu dotarcia do Ciebie” zadecydujemy, czy Facebook może pokazywać nam reklamy w oparciu o informacje profilowe, takie jak pracodawca, stanowisko, wykształcenie czy status związku. Sprawdzimy też, jakie serwis przypisuje nam zainteresowania, bazując na naszych polubieniach i kliknięciach w linki (można nieźle się zdziwić). Co istotne, z każdej kategorii, do której zostaliśmy zaszufladkowani, bez problemu możemy siebie usunąć. W sekcji „Reklamy w oparciu o grupy odbiorców” zobaczymy, którzy konkretnie reklamodawcy wzięli nas na celownik, ponieważ weszliśmy z nimi w jakąś interakcję, np. podpisaliśmy petycję, podając swój adres e-mail, skorzystaliśmy z udostępnionej przez nich aplikacji albo kupiliśmy coś w ich sklepie, niekoniecznie zresztą online. Możemy określić, w jaki sposób Facebook ma reagować, gdy dana firma będzie chciała wyświetlić nam swoje reklamy albo wykluczyć nas z grupy ich odbiorców.

Warto wiedzieć, że reklamodawcy mogą użyć usługi Audience Network do kupowania reklam za pośrednictwem Facebooka i wyświetlania ich na stronach zewnętrznych lub w aplikacjach na urządzeniach mobilnych. Aby zniknąć z grona preferowanych odbiorców takich reklam, powinniśmy zaznaczyć odpowiednią opcję w sekcji „Reklamy poza Facebookiem”. Warto też zajrzeć do sekcji „Interakcje społeczne” i zabronić pokazywania znajomym, że np. polubiliśmy stronę, która właśnie wyświetla im reklamę.

Mały bonus dla czytających do końca

Tym, którzy doczytali do tego miejsca, możemy podpowiedzieć, że istnieje całkiem dobre narzędzie ograniczające śledzenie przez Facebooka naszych działań na stronach zewnętrznych. Mamy na myśli Facebook Container, stworzone przez Mozillę rozszerzenie do Firefoksa wykorzystujące funkcję kart z kontekstem. Dzięki niemu witryny należące do Facebooka są uruchamiane w osobnym kontenerze, czyli wydzielonym fragmencie pamięci masowej przeglądarki. Pozostałe strony otwierają się poza kontenerem, co utrudnia działanie elementów śledzących sieci społecznościowej. Niestety nie znamy odpowiednika tego dodatku dla Chrome i innych przeglądarek bazujących na Chromium. Wiemy natomiast, jak przywrócić dawny wygląd Facebooka w bardziej i mniej popularnych przeglądarkach – wystarczy skorzystać z dodatku Old Layout. Zanim to jednak zrobicie, skonfigurujcie konto zgodnie z powyższym poradnikiem, bo powrót do klasycznego wyglądu oznacza także przemieszanie opcji w ustawieniach, co może skutkować przeoczeniem części z nich. Przed udostępnieniem jakichkolwiek treści na Facebooku warto też zastanowić się, czy aby na pewno chcemy, by serwis uczynił z nich pożywkę dla reklamodawców.

Dla zachowania pełnej przejrzystości: Patronem cyklu jest Aruba Cloud. Za opracowanie i opublikowanie tego artykułu pobieramy wynagrodzenie.