Facebook: ‘Nanotargeting’ af brugere baseret kun på deres opfattede interesser

Forskere har udviklet en metode til at levere en Facebookannoncekampagne til kun én person ud af 1,5 milliard, baseret kun på brugerens interesser, og ikke på personligt identificerbare oplysninger (PII), såsom e-mailadresser, telefonnumre eller geografisk placering, som normalt er forbundet med ‘targeting’-skandaler i de seneste år.

Brugere har begrænsede muligheder for at kontrollere disse interesser, som er algoritmerisk bestemt på baggrund af browsevaner, ‘likes’ og andre former for interaktion, som Facebook kan identificere, og som er inkluderet i kriterierne for at modtage en Facebookannonce.

Siden interesser er forbundet med Facebookbrugere baseret på indholdet, de poster og interagerer med, kan brugere individuelt målrettes uden nogensinde at udtrykke, hvad deres interesser er i noget af det indhold, de poster, og i modsætning til næsten alle nuværende foranstaltninger, de måske tager for at beskytte sig selv mod hyper-specifik annonce-målretning.

Forskningen antyder også, at ‘nanotargeting’ af brugere på denne måde ikke kun er billig, men undertiden kostenlos, da Facebook ofte ikke opkræver en annoncekunde for en underbetjent kampagne (dvs. en kampagne, der kun nåede én person).

I 2018 fastslog en AdNews undersøgelse, at Facebook algoritmerisk tildeler gennemsnitligt 357 interesser per bruger, hvoraf 134 blev vurderet som ‘præcise’.

Høje Interesse Rater

Forfatterne af den nye artikel testede deres antagelser på sig selv, ved at oprette en Facebookannoncekampagne designet til at ‘nanotarget’ forfatterne ud af en potentiel publikum på 1,5 milliard Facebookbrugere, baseret på en tilfældig række af målinteresser; annoncerne blev succesfuldt og eksklusivt leveret til målpersonerne, hvor der var højere antal af de tilfældigt valgte interesser, der blev betragtet (se resultattabel mod slutningen af artiklen).

Forskere estimerer, at en enkelt person kan identificeres og målrettes, baseret kun på deres interesser, med 90% nøjagtighed, selvom antallet af interesser, der kræves, varierer afhængigt af, hvor almindelige interesserne er:

‘Vore resultater viser, at de 4 sjældneste [Facebook] interesser for en bruger gør dem unikke i den nævnte brugerbase med en 90% sandsynlighed. Hvis vi i stedet betragter en tilfældig udvalg af interesser, så ville 22 interesser være nødvendige for at gøre en bruger unik med en 90% sandsynlighed.’

Forfatterne foreslår, at denne tilgang til snigskytte-målretning af såkaldt generaliserede eller semi-anonyme Facebookbrugerpublikum er kun ‘spidsen af isbjerget’ i forhold til brug af non-PII-data til at omgå nylige bestræbelser og initiativer for at beskytte brugerens privatliv i kølvandet på Cambridge Analytica-skandalen.

Den artikel, med titlen Unik på Facebook: Formulering og bevis for (nano)targeting af enkelte brugere med non-PII-data, er et samarbejde mellem tre forskere fra Universidad Carlos de III i Madrid, sammen med en datavidenskabsmand fra GTD System & Software Engineering og en professor fra Østrigs Graz University of Technology.

Metode

Forskningen blev gennemført på en dataset, der blev indsamlet i januar 2017. Året efter øgede Facebook den minimale Potentiel Rækkevidde for en annoncekampagne fra 20 til 1000, men forskerne bemærker, at dette ikke forhindrer annoncører i at målrette grupper på under 1000, men kun fra at kende den faktiske størrelse af målpublikummet.

Forskere bemærker også, at tidligere arbejde har demonstreret, at 1000-brugergrænsen kan effektivt sænkes til så lidt som 100, og at 100 brugere er den mindste målgruppe, der er tilgængelig for dem, der ønsker at genskabe arbejdet.

Men siden datasettet blev samlet, har Facebook tilføjet ‘Hele verden’ som en potentiel indsamling af kampagnen, hvilket betyder, at forskerne har bevist deres hypotese under yderligere begrænsninger, der ikke længere eksisterer (de havde i stedet for at indsende en filtreret lokal mål, der omfattede de 50 lande, hvor Facebook har den største brugerbase, hvilket resulterede i et potentiale på 1,5 milliard brugere).

Data

Data blev erhvervet fra en samling af 2.390 ægte Facebookbrugere, der havde installeret forfatternes FDVT browser udvidelse (se billedet nedenfor og videoen mod slutningen af artiklen) før januar 2017, alle frivillige. Udvidelsen giver brugerne en realtidsvurdering af den omsætning, deres browsing genererer for Facebook, baseret på PII og demografiske data, som frivillige accepterer at dele med forskerne.

FDVT-browserudvidelsen giver den loggede Facebookbruger en strøm af information om privatlivsaspekter og omsætning (for Facebook) om brugerens browseaktiviteter. Kilde: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Forskere fik 1,5 million data punkter fra 99.000 unikke Facebookinteresser forbundet med deltagerne, der havde en median på 426 registrerede interesser.

Forskere beregnede derefter en formel til at fastslå det minimale antal interesser, der er nødvendige for at udføre nanotargeting på en enkelt person, og fastslog, at kun 4 ‘marginale’ interesser er nødvendige, og at en angrebs sandsynlighed øges, efterhånden som interesserne bliver mere specialiserede og mindre repræsentative for brede interesse tendenser.

For ’tilfældige interesser’ – interesser trukket tilfældigt fra puljen af alle tilgængelige interessekategorier – estimerede formelen, at ’12, 18, 22 og 27 tilfældige interesser gør en bruger unik på Facebook med en sandsynlighed på 50%, 80%, 90% og 95%, respectively’.

Resultater fra forskernes model, der beregner antallet af interesser, der er nødvendige for at individualisere en bruger under forskellige begrænsninger. Kilde: https://arxiv.org/pdf/2110.06636.pdf

Nanotargeting Test

Forfatterne oprettede målrettede annoncekampagner rettet mod sig selv ved hjælp af tilfældige sæt af interesser tildelt af Facebooks annoncegrænseflade. Selvom mere præcise resultater kunne være opnået ved at indstille ‘marginale’ interesser, foretrak forfatterne at bevise den brede anvendelighed af teorien, snarere end at ‘snyde’ ved at fokusere på hyper-specifikke interesser.

I bunden til højre vises antallet af interesser, der driver annoncen, i FDVT-grænsefladen.

Med hjælp af flere kriterier, herunder snapshots af ‘Hvorfor ser jeg denne annonce?’-meddelelsen, der er inkluderet i Facebookannoncer, fastslog forfatterne kriterier for succes i forhold til, at målpersonen eksklusivt modtog en annonce baseret på deres interesser alene. ‘Fiasko’ blev defineret ved tilfælde, hvor annoncen blev vist ikke kun til forfatteren, men også til andre læsere.

Ni af de 21 kampagner, der blev kørt, med varierende antal interesser som målkriterier, lykkedes det at ‘monotarget’ den ønskede modtager af annoncen, med succes stigende i forhold til antallet af interesser, der blev identificeret (og husk, at ’tilfældige’ interesser blev brugt til at opnå disse resultater, og ikke tilrettelagte og brugerspecifikke interesser).

Resultater af nanotargeting-eksperimentet for de tre bidragende forfattere til artiklen, der alle eksklusivt modtog mindst to nanotargetede annoncer. Flere indtryk af en succesfuld nanotargeting er resultatet af, at annoncen blev vist flere gange til målpersonen på tværs af sideindtryk, og ikke en indikation af, at nogen andre så annoncen.

Forfatterne erkender, at den høje omkostning af manipulative Facebookannoncekampagner kunne gøre denne type angreb ikke-gennemførlig. Men det viser sig, at omkostningerne var minimale:

‘Desværre viser resultaterne fra [Facebook] Annoncekampagne Manager, at nanotargeting af en bruger er ret billig. Faktisk var den samlede omkostning for de 9 succesfulde nanotargeting-kampagner kun 0,12€. Forbløffende nok opkrævede [Facebook] os ikke noget i tre af de succesfulde nanotargeting-kampagner, der kun leverede 1 annonceindtryk til den målrettede bruger.’

‘Derfor kan den ekstremt lave omkostning af nanotargeting ikke være en afvigende faktor, men kan i stedet opmuntre angribere til at udnytte denne praksis.’

At omgå Facebooks ‘beskyttelse’

Artiklen bemærker, at Facebooks annonceservices har ‘minimum liste størrelser’, som en bruger kan målrette, hvilket teknisk set gør det umuligt at uploade en specifik enkelt person som annoncekampagnemål. Men forfatterne observerer, at disse begrænsninger er lette at omgå.

For eksempel bemærker rapporten, at en CEO rapporterede i 2017, hvordan han kunne lokke en potentiel medarbejder fra et andet firma ved at koordinere en Facebookkampagne designet kun til at nå dette mål, en mand. Dette involverede at tilfredsstille Facebooks minimumskrav (30) ved at uploade en liste over 29 kvinder og én mand (målet), og derefter vælge ‘Mand’ som leveringskriterium.

Artiklen fastslår, at Facebooks begrænsninger, selv om de er opdateret, er ufuldkomment og inkonsistente. Mens resultaterne af en tidligere artikel tvang det sociale medie-kæmpe til at forbyde konfiguration af målgrupper på under 20 i dets Annoncekampagne Manager, fastslår forfatterne, at ‘Vores forskning viser, at denne grænse ikke er aktuel’.

Falske Indtryk

Ud over den generelle kulturelle backlash fra Cambridge Analytica-skandalen, der tvang ønsket ændring fra reklamegiganter som Google, underminerer nanotargeting af annoncer den almindelige forståelse af, at annoncekultur er ‘generel’ kultur, delt, hvis ikke af alle, så i hvert fald af en bred demografisk eller geografisk gruppe.

Artiklens forfattere påpeger en række tilfælde, hvor nanotargeting blev brugt på en bedragerisk måde, herunder da den britiske Labour-politiker Jeremy Corbyn, da han var leder af regeringens oppositionsparti, fastslog, at Labour skulle køre en Facebookannoncekampagne for at opmuntre til valgdeltagelse.

Labour-partiets chefer billigede ikke idéen, men i stedet for at gå i konflikt, implementerede de en £5000 annoncekampagne designet kun til at målrette Corbyn og hans medarbejdere, samt en udvalgt række sympatiske journalister. Ingen andre så disse annoncer.

Forfatterne fastslår:

‘[Nanotargeting] kan effektivt bruges til at manipulere en bruger til at overbevise dem om at købe en produkt eller til at overbevise dem om at ændre deres mening om en bestemt sag. Desuden kan nanotargeting bruges til at skabe en falsk perception, hvor brugeren udsættes for en virkelighed, der afviger fra, hvad de andre brugere ser (som skete i tilfældet med Corbyn). Endelig kan nanotargeting udnyttes til at implementere andre skadelige praksisser, såsom afpresning.’

De konkluderer:

‘Til sidst er det værd at bemærke, at vores arbejde kun har afsløret spidsen af isbjerget med hensyn til, hvordan non-PII-data kan bruges til nanotargeting-formål. Vores arbejde afhænger udelukkende af brugernes interesser, men en annoncekunde kan bruge andre tilgængelige socio-demografiske parametre til at konfigurere målgrupper i [Facebook] Ads Manager, såsom hjemsted (land, by, postnummer osv.), arbejdsplads, uddannelse, antal børn, mobil enhed brugt (iOS, Android) osv., for hurtigt at reducere målgruppens størrelse til at nanotarget en bruger.’