Facebook: ‘Nanotargeting’ a los usuarios basándose únicamente en sus intereses percibidos

Los investigadores han desarrollado un método para entregar una campaña publicitaria de Facebook a solo una persona de 1.500 millones, basándose únicamente en los intereses del usuario, y no en información de identificación personal (PII), como las direcciones de correo electrónico, números de teléfono o ubicación geográfica que normalmente se asocian con los escándalos de “targeting” de los últimos años.

Los usuarios tienen un control limitado sobre estos intereses, que se determinan algorítmicamente en función de los hábitos de navegación, “me gustas” y otras formas de interacción que Facebook puede identificar, y que se incluyen en los criterios para servir un anuncio de Facebook.

Dado que los intereses se asocian con los usuarios de Facebook basándose en el contenido que publican y con el que interactúan, los usuarios pueden ser objetivo individual sin nunca haber declarado explícitamente qué son sus intereses en ninguno del contenido que publican, y en oposición a casi todas las medidas actuales que podrían tomar para protegerse de la publicidad hiperespecífica.

La investigación también sugiere que “nanotargeting” a los usuarios de esta manera no solo es barato, sino que ocasionalmente es gratuito, ya que Facebook a menudo no cobra a un anunciante por una campaña subatendida (es decir, una campaña que solo alcanzó a una persona).

En 2018, un estudio de AdNews estableció que, en promedio, Facebook asigna algorítmicamente 357 intereses por usuario, de los cuales 134 se calificaron como “precisos”.

Tasas de interés altas

Los autores del nuevo artículo probaron sus suposiciones en sí mismos, creando una campaña publicitaria de Facebook diseñada para “nanotargeting” a los autores de una audiencia potencial de 1.500 millones de usuarios de Facebook, basándose en una matriz aleatoria de intereses objetivo; los anuncios se entregaron con éxito y de manera exclusiva a los objetivos donde se consideraron mayores números de intereses elegidos al azar (ver tabla de resultados al final del artículo).

Los investigadores estiman que un individuo puede ser identificado y objetivo, basándose únicamente en sus intereses, con una precisión del 90%, aunque el número de intereses necesarios varía según lo común que sean los intereses:

‘Nuestros resultados indican que los 4 intereses más raros de un usuario lo hacen único en la base de usuarios mencionada con una probabilidad del 90%. Si en cambio consideramos una selección aleatoria de intereses, entonces se requerirían 22 intereses para hacer que un usuario sea único con una probabilidad del 90%.’

Los autores sugieren que este enfoque para el “sniper targeting” de audiencias de usuarios de Facebook supuestamente generalizadas o semi-anónimas es solo “la punta del iceberg” en términos de utilizar datos no PII para deshacer los esfuerzos y las iniciativas recientes para proteger la privacidad del usuario en el contexto del escándalo de Cambridge Analytica.

El artículo, titulado Único en Facebook: Formulación y evidencia de (nano)targeting a usuarios individuales con datos no PII, es una colaboración entre tres investigadores de la Universidad Carlos III de Madrid, junto con un científico de datos de GTD System & Software Engineering y un profesor de la Universidad de Tecnología de Graz, Austria.

Metodología

La investigación se llevó a cabo sobre un conjunto de datos recopilado en enero de 2017. Al año siguiente, Facebook aumentó el tamaño mínimo de la audiencia potencial para una campaña publicitaria de 20 a 1000, pero los investigadores señalan que esto no impide que los anunciantes dirijan sus campañas a grupos de menos de 1000, sino que solo impide que conozcan el tamaño real de la audiencia objetivo obtenida.

Los investigadores también señalan que trabajos previos han demostrado que el límite de 1000 usuarios puede reducirse efectivamente a tan solo 100, y que 100 usuarios es el tamaño de grupo objetivo más pequeño disponible para aquellos que deseen reproducir el trabajo.

Sin embargo, desde que se compiló el conjunto de datos, Facebook ha agregado ‘Mundo entero’ como un área de captación potencial para la campaña, lo que significa que los investigadores han probado su hipótesis bajo restricciones adicionales que ya no existen (en su lugar, tuvieron que presentar un objetivo de ubicación filtrado que incluyera los 50 países donde Facebook tiene la mayor presencia de usuarios, lo que resultó en una audiencia potencial de 1.500 millones de usuarios).

Datos

Los datos se obtuvieron de un conjunto de 2.390 usuarios de Facebook reales que habían instalado la extensión del navegador FDVT de los autores antes de enero de 2017, todos voluntarios. La extensión proporciona a los usuarios una estimación en tiempo real de los ingresos que su navegación genera para Facebook, basándose en datos PII y demográficos que los voluntarios acuerdan compartir con los investigadores.

La extensión del navegador FDVT proporcionada por los investigadores da al usuario de Facebook conectado una secuencia de información sobre los aspectos de privacidad y rentabilidad (para Facebook) de sus actividades de navegación. Fuente: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Los investigadores obtuvieron 1,5 millones de puntos de datos de 99.000 intereses únicos de Facebook asociados con los participantes, que tenían una mediana de 426 intereses registrados.

Los investigadores calcularon entonces una fórmula para establecer el número mínimo de intereses necesario para realizar nanotargeting en un individuo, estableciendo que solo se requieren 4 “intereses marginales” y que la probabilidad de ataque aumenta a medida que los intereses se vuelven más especializados y menos representativos de las tendencias generales de interés.

Para “intereses aleatorios” – intereses dibujados arbitrariamente del conjunto de todas las categorías de intereses disponibles – la fórmula estimó que ’12, 18, 22 y 27 intereses aleatorios hacen que un usuario sea único en FB con una probabilidad del 50%, 80%, 90% y 95%, respectivamente’.

Resultados del modelo de los investigadores, calculando el número de intereses necesarios para individuar a un usuario bajo varias restricciones. Fuente: https://arxiv.org/pdf/2110.06636.pdf

Prueba de nanotargeting

Los autores crearon campañas publicitarias dirigidas a ellos mismos utilizando conjuntos aleatorios de intereses asignados por la interfaz de anuncios de Facebook. Aunque se podrían haber obtenido resultados más precisos estableciendo “intereses marginales”, los autores prefirieron probar la aplicabilidad general de la teoría, en lugar de “hacer trampa” centrándose en intereses hiperespecíficos.

En la esquina inferior derecha, se muestran el número de intereses que alimentan el anuncio dentro de la interfaz de FDVT.

Utilizando varios criterios, incluyendo capturas de pantalla del aviso “¿Por qué estoy viendo este anuncio?” incluido con los anuncios de Facebook, los autores establecieron criterios de éxito en términos de que el objetivo fuera servido exclusivamente con un anuncio basado únicamente en sus intereses. El “fracaso” se definió por casos en los que el anuncio se mostró no solo al autor, sino también a otros lectores.

Nueve de las 21 campañas realizadas, con diferentes números de intereses como criterios de objetivo, “monotargeting” exitosamente al destinatario previsto del anuncio, con un aumento en el éxito según el número de intereses identificados (y recordando que se utilizaron “intereses aleatorios” para obtener estos resultados, y no intereses específicos y personalizados).

Resultados del experimento de nanotargeting para los tres autores contribuyentes del artículo, todos los cuales recibieron al menos dos anuncios nanotargeting de manera exclusiva. Las múltiples impresiones de un nanotargeting exitoso son el resultado de que el anuncio se mostró múltiples veces al objetivo a lo largo de las impresiones de la página, y no una indicación de que alguien más vio el anuncio.

Los autores reconocen que el alto costo de las campañas publicitarias manipuladoras de Facebook podría hacer que este tipo de ataque no sea factible. Sin embargo, resulta que el costo fue mínimo:

‘Desafortunadamente, los resultados extraídos del [Administrador de campañas de Facebook] demuestran que nanotargeting a un usuario es bastante barato. De hecho, el costo total de las 9 campañas de nanotargeting exitosas fue de solo 0,12€. Sorprendentemente, [Facebook] no nos cobró nada en tres de las campañas de nanotargeting exitosas que entregaron solo 1 impresión de anuncio al usuario objetivo.

‘Por lo tanto, más que un factor disuasorio, el costo extremadamente bajo del nanotargeting puede alentar a los atacantes a aprovechar esta práctica.’

Eludir las “protecciones” de Facebook

El artículo señala que los servicios publicitarios de Facebook tienen “tamaños de lista mínimos” que un usuario puede objetivo, lo que técnicamente hace imposible subir a un individuo específico como objetivo de una campaña publicitaria. Sin embargo, los autores observan que estas restricciones son fáciles de sortear.

Por ejemplo, el informe observa que un director ejecutivo informó en 2017 cómo pudo contratar a un posible empleado de otra empresa organizando una campaña de Facebook diseñada solo para llegar a ese individuo objetivo, un hombre. Esto involucró satisfacer los criterios mínimos de Facebook (30) subiendo una lista de 29 mujeres y 1 hombre (el objetivo), y luego seleccionando “Hombre” como criterio de entrega.

El artículo sostiene que las restricciones de Facebook, aunque actualizadas posteriormente, son imperfectas y inconsistentes. Mientras que los resultados de un artículo anterior obligaron al gigante de las redes sociales a no permitir la configuración de audiencias de menos de 20 en su Administrador de campañas publicitarias, los autores disputan la efectividad del cambio de política, afirmando que ‘Nuestra investigación muestra que este límite no se aplica actualmente’.

Falsas impresiones

Además del rechazo cultural generalizado del escándalo de Cambridge Analytica, que incitó un cambio reluctante de gigantes publicitarios como Google, el nanotargeting de anuncios socava la comprensión común de que la cultura publicitaria es “general”, compartida, si no por todos, al menos por un grupo demográfico o geográfico amplio.

Los autores del artículo señalan una serie de casos en los que se utilizó el nanotargeting de manera engañosa, incluido el momento en que, en 2017, el político laborista del Reino Unido Jeremy Corbyn, entonces líder del partido de oposición del gobierno, decretó que el Partido Laborista debería ejecutar una campaña publicitaria de Facebook para fomentar el registro de votantes.

Los jefes del Partido Laborista no aprobaron la idea, pero en lugar de entrar en conflicto, simplemente implementaron una campaña publicitaria de £5000 diseñada para objetivo solo a Corbyn y sus asociados, así como a un grupo selecto de periodistas simpatizantes. Nadie más vio esos anuncios.

Los autores afirman:

‘[El nanotargeting] se puede utilizar eficazmente para manipular a un usuario para persuadirlo de que compre un producto o para convencerlo de que cambie de opinión sobre un tema en particular. Además, el nanotargeting se puede utilizar para crear una percepción falsa en la que el usuario se expone a una realidad que difiere de lo que ven el resto de los usuarios (como sucedió en el caso de Corbyn). Finalmente, el nanotargeting se podría explotar para implementar otras prácticas dañinas, como el chantaje.’

Concluyen:

‘Finalmente, vale la pena señalar que nuestro trabajo ha revelado solo la punta del iceberg en cuanto a cómo se pueden utilizar datos no PII para fines de nanotargeting. Nuestro trabajo se basa exclusivamente en los intereses de los usuarios, pero un anunciante puede utilizar otros parámetros sociodemográficos disponibles para configurar audiencias en el [Administrador de anuncios de Facebook] como la ubicación del hogar (país, ciudad, código postal, etc.), lugar de trabajo, universidad, número de hijos, dispositivo móvil utilizado (iOS, Android), etc., para reducir rápidamente el tamaño de la audiencia a nanotargeting a un usuario.’