Le Monden tuore selvitys(uusi ikkuna) osoittaa, kuinka älypuhelimien mainontaan linkitetyt tiedot voivat paljastaa Ranskan poliisin, armeijan ja tiedusteluhenkilöstön (mukaan lukien eliittiyksiköiden jäsenten) henkilöllisyyden ja päivittäiset liikkeet.
Olennaista on, ettei tämä johtunut hakkeroinnista tai kömmähdyksestä. Nämä erittäin arkaluontoiset tiedot kerättiin julkisesti saatavilla olevista ja laajasti kaupatuista kuluttajaineistoista. Tavalliset sovellukset, joihin oli upotettu mainosseurantateknologiaa, keräsivät heidän sijaintinsa ja myivät sen datanvälittäjille.
Tämän selvityksen herättämien ilmeisten kansallista turvallisuutta koskevien huolien lisäksi se osoittaa, kuinka paljon intiimiä tietoa päivittäisestä elämästämme on helposti mainostajien saatavilla kuluttajamainosekosysteemin kautta, jossa ei ole yksityisyydensuojaa eikä valvontaa.
Sovelluksenne jakavat hiljaa tiedon siitä, missä liikutte
Tämä ”hakkerointi” hyödyntää passiivista dataa, jota laitteenne lähettävät koko ajan. Näin se toimii:
Useimmat ilmaiset mainokset tekevät rahaa mainosverkostojen tarjoamilla pienillä koodinpätkillä, jotka tunnetaan mainonnan ohjelmistokehityspaketteina (SDK). Ne keräävät tietoja joka kerta, kun avaatte sovelluksen tai lataatte mainoksen. Näihin tietoihin voi kuulua:
- Puhelimenne mainostunniste (yksilöllinen seuranta)
- Teidän IP-osoitteenne(uusi ikkuna)
- Sijaintitiedot (käsittelemme tätä alla)
- Mitä sovellusta käytätte
- Milloin käytätte sitä
Sovellukset jakavat näitä tietoja jatkuvasti taustalla (vaikka ette tekisi mitään), tyypillisesti lähettäen ne SDK:n palvelimille, ei sovelluskehittäjän palvelimille. Sieltä ne myydään eteenpäin datanvälittäjille, jotka yhdistävät tiedot tuhansista sovelluksista yksityiskohtaiseksi historiaksi sijainnistanne.
Nämä tiedot eivät ole anonyymejä
IP-osoitteenne yksilöi puhelimenne, ja sitä voidaan käyttää sijaintinne karkeaan arviointiin, suunnilleen kaupungin tarkkuudella. IP-osoite on kuitenkin laajalti tunnettu yksityisyysriski, ja se voidaan piilottaa helposti käyttämällä VPN-yhteyttä(uusi ikkuna). Kavahdettavampia ovat teknologiat, jotka väittävät seuraavansa teitä ”anonyymisti”.
Sijaintitiedot
Sekä Android että iOS sisältävät hienojakoisia yksityisyysasetuksia, joiden avulla voitte estää sovelluksilta pääsyn sijaintiinne (mikä tarkoittaa pääasiassa suoraa pääsyä GPS-tietoihinne). Sovellukset voivat kuitenkin käyttää puhelimenne muita datapisteitä, joihin niillä on pääsy, päätelläkseen sijaintinne yllättävän tarkasti:
- Lähellä olevat Wi-Fi-verkot (jotka on kartoitettu maailmanlaajuisiin tietokantoihin)
- Bluetooth-majakat (sijaitsevat usein kaupoissa, tapahtumissa ja joukkoliikennevälineissä)
- Anturit (mukaan lukien liikekuviot ja solutornihyppelyt)
Mainostunniste
Puhelimenne mainostunniste (AAID Androidilla, IDFA iOS:llä) on pysyvä ja yksilöllinen laitetunniste, joka luotiin nimenomaan mahdollistamaan sovellusten välinen seuranta. Teoriassa sitä ei ole sidottu nimeenne, mutta koska mainonnan SDK:lla on pääsy sijaintitietoihinne:
- Se tietää, missä nukutte
- Se tietää, missä työskentelette
- Se voi seurata kuntosalia, baaria, kauppoja ja ystäviä, joiden luona vierailette, ja yhdistää tämän muihin tietoihin, joihin sillä on pääsy (kuten sosiaalisen median läsnäoloonne) päätelläkseen henkilöllisyytenne päivittäisistä rutiineistanne.
Tätä kutsutaan liikkumismallien deanonymisoinniksi(uusi ikkuna), ja sen kyky yksilöidä teidät on todistettu toistuvasti tutkimuksissa(uusi ikkuna). Itse asiassa Le Monde teki juuri näin.
Datanvälittäjät ostavat näitä tietoja massoittain
Mainonnan SDK-toimittajat ja mainosteknologiayritykset myyvät tai jakavat tämän telemetrian datanvälittäjille, jotka:
- Koostavat sen miljoonista sovelluksista
- Rakentavat laitetason liikkumishistorioita
- Jälleenmyyvät tietoaineistoja mainostajille, hedge-rahastoille, poliittisille kampanjoille ja kaikille muille, jotka ovat halukkaita maksamaan
Nämä tietoaineistot voivat sisältää miljardeja tarkkoja sijaintipingeja, jotka on sidottu mainostunnisteisiin.
Le Monden selvitys
Le Monden toimittajat yksinkertaisesti ostivat näitä julkisesti saatavilla olevia tietoaineistoja datanvälittäjiltä ja käyttivät niitä etsiäkseen laitteita, jotka viettivät yöt yhdessä osoitteessa (todennäköisesti käyttäjän koti) ja vierailivat säännöllisesti jossakin sijainnissa päiväsaikaan (todennäköisesti käyttäjän työpaikka). Jos nämä työpaikat olivat tunnetusti arkaluontoisia kohteita, kuten DGSE:n päämaja (Ranskan vastine CIA:lle), sotilastukikohta tai ydinlaitos, oli helppo päätellä omistajan tehtävä valtion organisaatiossa.
Tämän jälkeen he pystyivät vertaamaan liikkumismalleja julkisesti saatavilla oleviin tietoihin, kuten sosiaalisen median aktiivisuuteen, LinkedIn-profiileihin ja kiinteistörekistereihin, määrittääkseen henkilön henkilöllisyyden. Tätä tekniikkaa käyttäen Le Monde deanonymisoi ja seurasi intiimejä päivittäisiä liikkeitä, jotka kuuluivat:
- Ranskan palveluksessa oleville tiedusteluupseereille
- Poliisin eliittiyksiköille ja turvallisuuspalveluille
- Interventiojoukkojen, kuten GIGN:n, jäsenille
- Keskeisiin tukikohtiin (mukaan lukien ydinasepelotteen tilat) sijoitetulle sotilashenkilöstölle
- Puolustusteollisuuden johtajille
- Vankilahenkilökunnalle
- Ydinvoimaloiden työntekijöille
Le Monden selvitys muistuttaa läheisesti Institute for United Conflict Analysts -instituutin vuoden 2017 raporttia, joka pystyi paikantamaan Yhdysvaltain sotilastukikohtien sijainnin ja miehityksen(uusi ikkuna) sekä vakoiluasemat ympäri maailmaa käyttämällä julkisesti saatavilla olevia harjoittelutietoja, joita sotilaat olivat ladanneet Strava-kuntoseurantayritykselle.
Miksi tällä on merkitystä
Kansalliseen turvallisuuteen liittyvät seuraukset siitä, miten tätä julkista dataa voidaan väärinkäyttää, ovat selvät. Se kuitenkin osoittaa myös, kuinka suurta osaa jokapäiväisestä digitaalisesta elämästämme valvotaan ja rahallistetaan hiljaa. Mainosseurantatiedot voivat paljastaa:
- Missä asutte
- Missä työskentelette
- Rutiininne ja tapanne
- Ihmissuhteenne
- Poliittiset tai uskonnolliset sidonnaisuutenne
- Lääkärikäyntinne
- Kaikki paikat, joissa käytte (tunti tunnilta ja muutaman metrin tarkkuudella)
Tällaisen kaikkialle ulottuvan mainosvetoisen valvonnan ja tiedonjaon myötä on väistämätöntä, että arkaluontoiset tiedot päätyvät lopulta sellaisten ihmisten käsiin, jotka haluavat väärinkäyttää niitä. Esimerkiksi rikolliset voisivat käyttää niitä tehdäkseen sosiaalisen manipuloinnin hyökkäyksistä uskottavampia, tai vainoajat voisivat käyttää niitä jäljittääkseen teidät(uusi ikkuna). Valvontaan perustuva mainonta luo suoran uhan henkilöllisyydellenne, taloudellenne ja fyysiselle turvallisuudellenne.
Mitä voitte tehdä asialle?
Kaikenlaista seurantaa on mahdotonta pysäyttää, mutta voitte tehdä seuraavat toimet vähentääksenne kerättävien tietoaineistojen hienojakoisuutta:
- Ottakaa sijaintipalvelut pois päältä(uusi ikkuna), kun niitä ei käytetä, ja estäkää sovelluksilta sijainnin käyttöoikeudet.
- Käyttäkää VPN-yhteyttä(uusi ikkuna) piilottaaksenne todellisen IP-osoitteenne. DNS-suodatusominaisuudet, kuten Proton VPN:n NetShield Ad-blocker(uusi ikkuna), voivat myös auttaa estämään mainos- ja seurantaskriptejä.
- Poistakaa mainostunnisteenne Androidilla (Asetukset → Google → Kaikki palvelut → Mainokset → Yksityisyys ja turvallisuus → Mainokset → Poista mainostunnus). iPhone-puhelimet eivät tarjoa tätä vaihtoehtoa.
Jos turvallisuuden eliittiyksiköt voidaan paljastaa, kuka tahansa voidaan
Le Monden selvitys osoittaa, että kaikkialle ulottuvan ja sääntelemättömän mainonnan vaarat eivät ole vain teoreettinen huoli. Selvityksessä tunnistetut henkilöt eivät olleet tehneet mitään huolimatonta: he käyttivät vain normaaleja älypuhelimia normaaleilla sovelluksilla. Kuten me kaikki.
Ongelma on rakenteellinen. Mainosyritykset keräävät liikaa dataa, sovelluskehittäjät upottavat seurantatyökaluja, joita he eivät täysin ymmärrä tai asettavat yksinkertaisesti voitot käyttäjien turvallisuuden edelle, datanvälittäjät myyvät sijaintitietoja melkein kenelle tahansa, ja sääntelyviranomaiset ovat suurelta osin tehottomia.
Kun koko teollisuudenala on rakennettu jatkuvan sijaintivalvonnan ympärille, edes korkeasti koulutetut ammattilaiset eivät voi välttää tulemasta seuratuksi. Ettekä tekään.
