फोन विज्ञापनों ने फ्रांसीसी खुफिया अफसरों को कैसे उजागर किया, और इसका आपकी निजता पे क्या असर है

Le Monde की एक हालिया जांच(नई विंडो) दिखाती है कि स्मार्टफोन पे विज्ञापन से जुड़ा डाटा किस तरह फ्रांसीसी पुलिस, सेना और खुफिया कर्मियों (जिनमें एलीट यूनिटों के सदस्य भी शामिल हैं) की पहचान और रोज़ की आवाजाही उजागर कर सकता है।

सबसे अहम बात ये है कि ये हैकिंग या किसी गलती का नतीजा नहीं था। ये बेहद संवेदनशील जानकारी सार्वजनिक रूप से उपलब्ध और बड़े पैमाने पे कारोबार होने वाले कंज्यूमर डाटासेट से इकट्ठा किया गया था। आम ऐप, जिनमें विज्ञापन-ट्रैकिंग तकनीक अंदर डाली गई थी, इनका स्थान इकट्ठा करके डाटा ब्रोकर को बेच देते थे।

इस जांच से उठने वाले साफ राष्ट्रीय सुरक्षा सवालों के अलावा, ये भी दिखाती है कि हमारी रोज़मर्रा की ज़िंदगी के बारे में कितना अंतरंग डाटा विज्ञापनदाताओं को एक ऐसे कंज्यूमर विज्ञापन इकोसिस्टम के ज़रिए आसानी से मिल जाता है जिसमें न निजता के कोई बचाव हैं और न कोई निगरानी।

आपके ऐप चुपके से शेयर कर रहे हैं कि आप कहां-कहां जाते हैं

ये “hack” उस पैसिव डाटा का फायदा उठाता है जो आपके डिवाइस लगातार भेजते रहते हैं। ये कैसे काम करता है:

ज़्यादातर फ्री विज्ञापन विज्ञापन नेटवर्क की दी हुई कोड के छोटे टुकड़ों से कमाई करते हैं, जिन्हें विज्ञापन सॉफ्टवेयर डेवलपमेंट किट (SDK) कहा जाता है और जो हर बार ऐप खोलने या विज्ञापन लोड करने पे डाटा इकट्ठा करते हैं। इस डाटा में ये चीजें हो सकती हैं:

• आपके फोन की विज्ञापन ID (एक यूनीक ट्रैकर)
• आपका IP पता(नई विंडो)
• स्थान की जानकारी (इसके बारे में आगे बात करेंगे)
• आप कौन सा ऐप इस्तेमाल कर रहे हैं
• आप उसे कब इस्तेमाल कर रहे हैं

ऐप ये डाटा लगातार बैकग्राउंड में शेयर करते रहते हैं (तब भी जब आप कुछ नहीं कर रहे होते), और आम तौर पर इसे ऐप डेवलपर के सर्वर की जगह SDK के सर्वर पे भेजते हैं। यहां से ये डाटा ब्रोकरों को बिकता है, जो हज़ारों ऐप्स की जानकारी जोड़कर आपके स्थान का एक विस्तृत इतिहास बना देते हैं।

ये डाटा एनोनिमस नहीं है

आपका IP पता आपके फोन की यूनीक पहचान करता है, और इससे आपका स्थान लगभग किसी शहर जितनी दूरी की सटीकता तक अंदाज़ा लगाया जा सकता है। हालांकि, IP पता एक जाना-पहचाना निजता खतरा है और इसे VPN के ज़रिए आसानी से छिपा दिया जा सकता है(नई विंडो)। ज़्यादा खतरनाक वो तकनीकें हैं जो दावा करती हैं कि वो आपको “एनोनिमस तरीके से” ट्रैक करती हैं।

स्थान की जानकारी

Android और iOS दोनों में बारीक निजता कंट्रोल होते हैं जिनकी मदद से आप ऐप्स को अपने स्थान तक एक्सेस अस्वीकार कर सकते हैं (जिसका मतलब ज़्यादातर आपके GPS डाटा तक सीधा एक्सेस होता है)। लेकिन ऐप्स आपके फोन के उन दूसरे डाटा पॉइंट्स से जानकारी ले सकते हैं जिन्हें वो एक्सेस कर सकते हैं, और उनसे हैरान करने वाली सटीकता के साथ आपका स्थान पता लगा सकते हैं:

• नज़दीक के वाई-फाई नेटवर्क (जो दुनिया भर के डेटाबेस में दर्ज हैं)
• ब्लूटूथ बीकन (जो अक्सर दुकानों, कार्यक्रमों और पब्लिक ट्रांसपोर्ट में होते हैं)
• सेंसर (जिनमें हलचल के पैटर्न और सेल टावर बदलना शामिल है)

विज्ञापन ID

आपके फोन की विज्ञापन ID (Android पे AAID, iOS पे IDFA) एक स्थायी और यूनीक डिवाइस आइडेंटिफायर है, जिसे खास तौर पर क्रॉस-ऐप ट्रैकिंग की सुविधा देने के लिए बनाया गया था। कागज़ी तौर पर ये आपके नाम से नहीं जुड़ी है, लेकिन चूंकि विज्ञापन SDK आपके स्थान के डाटा तक एक्सेस रखता है:

• उसे पता होता है कि आप कहां सोते हैं
• उसे पता होता है कि आप कहां काम करते हैं
• वो ट्रैक कर सकता है कि आप किस जिम, बार, किन दुकानों और किन दोस्तों के पास जाते हैं, और इसे उस दूसरी जानकारी के साथ जोड़कर, जिस तक उसकी एक्सेस है (जैसे आपकी सोशल मीडिया मौजूदगी), आपकी रोज़मर्रा की आदतों से आपकी पहचान का अंदाज़ा लगा सकता है।

इसे गतिशीलता-पैटर्न से डीएनोनिमाइज़ेशन(नई विंडो) कहते हैं, और इसकी आपको यूनीक तौर पर पहचानने की क्षमता रिसर्च(नई विंडो) में बार-बार साबित हो चुकी है। दरअसल, Le Monde ने बिल्कुल यही किया।

डाटा ब्रोकर ये डाटा थोक में खरीदते हैं

विज्ञापन SDK वेंडर और ऐड-टेक कंपनियां ये टेलीमेट्री डाटा ब्रोकरों को बेचती हैं या उनके साथ शेयर करती हैं, जो:

• इसे लाखों ऐप्स से इकट्ठा करते हैं
• डिवाइस-स्तर के आवाजाई इतिहास बनाते हैं
• डाटासेट विज्ञापनदाताओं, हेज फंड, राजनीतिक अभियानों और पैसा देने को तैयार बाकी किसी भी शख्स को दोबारा बेचते हैं, जिनमें FBI भी शामिल है

इन डाटासेट में विज्ञापन ID से जुड़े अरबों सटीक स्थान पिंग हो सकते हैं।

Le Monde की जांच

Le Monde के पत्रकारों ने बस डाटा ब्रोकरों से ये सार्वजनिक रूप से उपलब्ध डाटासेट खरीदे और उनकी मदद से ऐसे डिवाइस ढूंढे जो रातें एक ही पते पे गुजारते थे (शायद उपयोगकर्ता का घर) और दिन में किसी स्थान पे नियमित रूप से जाते थे (शायद उपयोगकर्ता की काम की जगह)। अगर ये काम की जगहें DGSE मुख्यालय (CIA का फ्रांसीसी समकक्ष) जैसी ज्ञात संवेदनशील सुविधाएं, कोई सैन्य अड्डा या कोई न्यूक्लियर साइट थीं, तो मालिक की सरकारी संगठन में भूमिका का अंदाज़ा लगाना आसान था।

इसके बाद वो इन आवाजाई पैटर्न को सार्वजनिक रूप से उपलब्ध जानकारी, जैसे सोशल मीडिया एक्टिविटी, LinkedIn प्रोफाइल और प्रॉपर्टी रिकॉर्ड्स, से मिलाकर इन लोगों की पहचान तय कर सके। इस तकनीक से Le Monde ने इन लोगों को डीनोनिमाइज़ करके इनकी रोज़मर्रा की अंतरंग आवाजाही को ट्रैक किया:

• फ्रांसीसी खुफिया एजेंसियों के अफसर
• एलीट पुलिस यूनिट और सुरक्षा सेवाएं
• GIGN जैसी इंटरवेंशन फोर्स के सदस्य
• अहम अड्डों पे तैनात सैन्य कर्मी (जिनमें न्यूक्लियर डिटरेंस सुविधाएं शामिल हैं)
• रक्षा उद्योग के एग्जीक्यूटिव
• जेल के कर्मचारी
• नाभिकीय ऊर्जा संयंत्र के कर्मचारी

Le Monde की जां 2017 में Institute for United Conflict Analysts की एक रिपोर्ट से पूरी तरह मेल खाती है, जिसमें सैनिकों द्वारा Strava फिटनेस ट्रैकिंग कंपनी पर अपलोड किए गए सार्वजनिक रूप से उपलब्ध व्यायाम डाटा के जरिए दुनिया भर में अमेरिकी सैन्य अड्डों और जासूसी ठिकानों का स्थान और कर्मियों की संख्या का पता लगाया(नई विंडो) गया था।

ये क्यों ज़रूरी है

इस सार्वजनिक डाटा के दुरुपयोग के राष्ट्रीय सुरक्षा पर पड़ने वाले असर साफ दिखते हैं। लेकिन ये भी दिखाता है कि हमारी रोज़मर्रा की डिजिटल ज़िंदगी कितनी चुपके से निगरानी में रखी जाती है और उससे पैसे कमाए जाते हैं। विज्ञापन-ट्रैकिंग डाटा से पता चल सकता है:

• आप कहां रहते हैं
• आप कहां काम करते हैं
• आपकी दिनचर्या और आदतें
• आपके रिश्ते
• आपके डॉक्टर अपॉइंटमेंट
• आपके डॉक्टर के अपॉइंटमेंट
• आप कहां-कहां जाते हैं (घंटे-दर-घंटे और कुछ मीटर की सटीकता के साथ)

इतनी व्यापक विज्ञापन-संचालित निगरानी और डाटा शेयरिंग के साथ, ये तय है कि संवेदनशील जानकारी एक दिन उन लोगों के हाथ लग ही जाएगी जो उसका दुरुपयोग करना चाहते हैं। उदाहरण के लिए, अपराधी इससे सोशल इंजीनियरिंग अटैक को ज़्यादा भरोसेमंद बना सकते हैं, या स्टॉकर इसकी मदद से आप तक पहुंच(नई विंडो) सकते हैं। निगरानी पे आधारित विज्ञापन आपकी पहचान, वित्त और शारीरिक सुरक्षा के लिए सीधा खतरा पैदा करता है।

आप इसके बारे में क्या कर सकते हैं?

हर तरह की ट्रैकिंग रोकने का कोई तरीका नहीं है, लेकिन नीचे दिए गए कदम उठाकर आप इकट्ठा किए जाने वाले डाटासेट की बारीकी कम कर सकते हैं:

• इस्तेमाल में न होने पे स्थान सेवाएं बंद कर दें(नई विंडो) और ऐप्स को स्थान की अनुमति अस्वीकार करें।
• अपना असली IP पता छिपाने के लिए VPN(नई विंडो) इस्तेमाल करें। DNS फिल्टरिंग खासियतें, जैसे Proton VPN का NetShield Ad-blocker(नई विंडो), विज्ञापन और ट्रैकर स्क्रिप्ट को रोकने में भी मदद कर सकती हैं।
• Android पे अपनी विज्ञापन ID मिटा दें (सेटिंग → Google → सभी सेवाएं → विज्ञापन → निजता और सुरक्षा → विज्ञापन → विज्ञापन ID मिटा दें)। iPhone ये विकल्प नहीं देता।

अगर एलीट सुरक्षा यूनिट उजागर हो सकती हैं, तो कोई भी उजागर हो सकता है

Le Monde की जांच दिखाती है कि व्यापक और बिना नियमन वाले विज्ञापन के खतरे सिर्फ काल्पनिक चिंता नहीं हैं। जांच में पहचाने गए लोगों ने कुछ भी लापरवाही नहीं की थी: वो बस आम स्मार्टफोन पे आम ऐप इस्तेमाल कर रहे थे। हम सब की तरह।

समस्या ढांचागत है। विज्ञापन कंपनियां बहुत ज़्यादा डाटा इकट्ठा करती हैं, ऐप डेवलपर ऐसे ट्रैकिंग टूल अंदर डालें करते हैं जिन्हें वो पूरी तरह समझते नहीं, या सिर्फ अपने यूज़र्स की सुरक्षा की चिंता से ज़्यादा मुनाफे को तरजीह देते हैं, डाटा ब्रोकर स्थान के डाटासेट लगभग किसी को भी बेचते हैं, और रेगुलेटर काफी हद तक बेअसर हैं।

जब पूरा एक उद्योग ही लगातार स्थान की निगरानी के इर्द-गिर्द बना हो, तो बेहद ट्रेंड प्राप्त प्रोफेशनल भी ट्रैक होने से नहीं बच सकते। और आप भी नहीं।