Facebook: ‘Nanotargeting’ a usuarios basado únicamente en sus intereses percibidos

Los investigadores han desarrollado un método para entregar una campaña publicitaria de Facebook a solo una persona de 1.500 millones, basada únicamente en los intereses del usuario, y no en información de identificación personal (PII), como direcciones de correo electrónico, números de teléfono o ubicación geográfica, típicamente asociados con los escándalos de “targeting” de los últimos años.

Los usuarios tienen un control limitado sobre estos intereses, que se determinan algorítmicamente en función de sus hábitos de navegación, “me gustan” y otras formas de interacción que Facebook puede identificar, y que se incluyen en los criterios para servir un anuncio de Facebook.

Como los intereses se asocian con los usuarios de Facebook basado en el contenido que publican e interactúan, los usuarios pueden ser objetivo individual sin nunca haber declarado explícitamente qué son sus intereses en ningún contenido que publiquen, y en oposición a casi todas las medidas actuales que podrían tomar para protegerse de la publicidad hiperespecífica.

La investigación también sugiere que “nanotargeting” a los usuarios de esta manera no solo es barato, sino que ocasionalmente es gratuito, ya que Facebook a menudo no cobra a un anunciante por una campaña subatendida (es decir, una campaña que solo alcanzó a una persona).

En 2018, un estudio de AdNews estableció que, en promedio, Facebook asigna algorítmicamente 357 intereses por usuario, de los cuales 134 se calificaron como “precisos”.

Tasas de interés altas

Los autores del nuevo documento probaron sus suposiciones en sí mismos, creando una campaña publicitaria de Facebook diseñada para “nanotargeting” a los autores de una audiencia potencial de 1.500 millones de usuarios de Facebook, basada en una matriz aleatoria de intereses objetivo; los anuncios se entregaron con éxito y exclusivamente a los objetivos donde se consideraron números más altos de intereses aleatoriamente elegidos (ver tabla de resultados hacia el final del artículo).

Los investigadores estiman que un individuo puede ser identificado y objetivo, basado únicamente en sus intereses, con una precisión del 90%, aunque el número de intereses necesarios varía según lo común que sean los intereses:

‘Nuestros resultados indican que los 4 intereses más raros de un usuario lo hacen único en la base de usuarios mencionada con una probabilidad del 90%. Si en cambio consideramos una selección aleatoria de intereses, entonces se requerirían 22 intereses para hacer que un usuario sea único con una probabilidad del 90%.’

Los autores sugieren que este enfoque para el “nanotargeting” de audiencias de Facebook supuestamente generalizadas o semi-anónimas es solo “la punta del iceberg” en términos de utilizar datos no PII para deshacer los esfuerzos recientes y las iniciativas para proteger la privacidad de los usuarios en el contexto del escándalo de Cambridge Analytica.

El documento, titulado Único en Facebook: Formulación y evidencia de (nano)targeting a usuarios individuales con datos no PII, es una colaboración entre tres investigadores de la Universidad Carlos III de Madrid, junto con un científico de datos de GTD System & Software Engineering y un profesor de la Universidad de Tecnología de Graz, Austria.

Metodología

La investigación se llevó a cabo en un conjunto de datos recopilado en enero de 2017. Al año siguiente, Facebook aumentó el tamaño mínimo de la audiencia potencial para una campaña publicitaria de 20 a 1000, pero los investigadores señalan que esto no evita que los anunciantes apunten a grupos de menos de 1000, sino que solo evita que conozcan el tamaño real de la audiencia objetivo obtenida.

Los investigadores también señalan que trabajos anteriores han demostrado que el límite de 1000 usuarios se puede reducir efectivamente a tan poco como 100, y que 100 usuarios es el tamaño de grupo objetivo más pequeño disponible para aquellos que desean reproducir el trabajo.

Sin embargo, desde que se compiló el conjunto de datos, Facebook ha agregado ‘Mundo entero’ como área de captación potencial para la campaña, lo que significa que los investigadores han probado su hipótesis bajo restricciones adicionales que ya no existen (en su lugar, tuvieron que presentar un objetivo de ubicación filtrada que incluía los 50 países con la mayor presencia de usuarios de Facebook, lo que resultó en una audiencia potencial de 1.500 millones de usuarios).

Datos

Los datos se obtuvieron de un conjunto de 2.390 usuarios de Facebook reales que habían instalado la extensión del navegador FDVT de los autores antes de enero de 2017, todos voluntarios. La extensión proporciona a los usuarios una estimación en tiempo real de los ingresos que su navegación genera para Facebook, basada en datos demográficos y de identificación personal que los voluntarios acuerdan compartir con los investigadores.

La extensión del navegador FDVT proporcionada por los investigadores da al usuario conectado a Facebook una corriente de información sobre los aspectos de privacidad y rentabilidad (para Facebook) de las actividades de navegación del usuario. Fuente: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Los investigadores obtuvieron 1,5 millones de puntos de datos de 99.000 intereses únicos de Facebook asociados con los participantes, que tenían una mediana de 426 intereses registrados.

Los investigadores luego calcularon una fórmula para establecer el número mínimo de intereses necesario para realizar “nanotargeting” en un individuo, estableciendo que solo se requieren 4 “intereses marginales” y que la probabilidad de ataque aumenta a medida que los intereses se vuelven más especializados y menos representativos de tendencias de interés amplias.

Para “intereses aleatorios” – intereses extraídos arbitrariamente del conjunto de todas las categorías de intereses disponibles – la fórmula estimó que ’12, 18, 22 y 27 intereses aleatorios hacen que un usuario sea único en Facebook con una probabilidad del 50%, 80%, 90% y 95%, respectivamente’.

Resultados del modelo de los investigadores, calculando el número de intereses necesarios para individuar a un usuario bajo varias restricciones. Fuente: https://arxiv.org/pdf/2110.06636.pdf

Prueba de nanotargeting

Los autores crearon campañas publicitarias dirigidas a ellos mismos utilizando conjuntos aleatorios de intereses asignados por la interfaz de anuncios de Facebook. Aunque se podrían haber obtenido resultados más precisos estableciendo “intereses marginales”, los autores prefirieron probar la aplicabilidad general de la teoría, en lugar de “hacer trampa” centrándose en intereses hiperespecíficos.

En la esquina inferior derecha, el número de intereses que alimentan el anuncio se muestra dentro de la interfaz de FDVT.

Utilizando varios criterios, incluyendo capturas de pantalla del aviso “¿Por qué estoy viendo este anuncio?” incluido con los anuncios de Facebook, los autores establecieron criterios para el éxito en términos de que el objetivo fuera servido exclusivamente un anuncio basado en sus intereses solos. El “fracaso” se definió por casos en los que el anuncio se mostró no solo al autor, sino también a otros lectores.

Nueve de las 21 campañas realizadas, con diferentes números de intereses como criterios de objetivo, “monotargeting” con éxito al destinatario previsto del anuncio, con el éxito aumentando según el número de intereses identificados (y recordando que se utilizaron “intereses aleatorios” para obtener estos resultados, y no intereses específicos y personalizados).

Resultados del experimento de nanotargeting para los tres autores contribuyentes del documento, todos los cuales recibieron al menos dos anuncios nanotargeting de forma exclusiva. Las impresiones múltiples para un nanotargeting exitoso son el resultado de que el anuncio se mostró múltiples veces al objetivo en diferentes impresiones de página, y no una indicación de que alguien más vio el anuncio.

Los autores reconocen que el alto costo de las campañas publicitarias manipuladoras de Facebook podría hacer que este tipo de ataque no sea factible. Sin embargo, resulta que el costo fue mínimo:

‘Desafortunadamente, los resultados extraídos del [Administrador de campañas de Facebook] demuestran que el nanotargeting a un usuario es bastante barato. De hecho, el costo total de las 9 campañas de nanotargeting exitosas fue solo de 0,12€. Sorprendentemente, [Facebook] no nos cobró nada en tres de las campañas de nanotargeting exitosas que solo entregaron 1 impresión de anuncio al usuario objetivo.

‘Por lo tanto, en lugar de ser un factor desalentador, el costo extremadamente bajo del nanotargeting puede alentar a los atacantes a aprovechar esta práctica.’

Evitando las “protecciones” de Facebook

El documento señala que los servicios publicitarios de Facebook tienen “tamaños de lista mínimos” que un usuario puede apuntar, lo que técnicamente hace imposible subir a un individuo específico como objetivo de una campaña publicitaria. Sin embargo, los autores observan que estas restricciones son trivialmente fáciles de sortear.

Por ejemplo, el informe observa que un director ejecutivo informó en 2017 cómo pudo contratar a un posible empleado de otra empresa mediante una campaña publicitaria de Facebook diseñada solo para llegar a ese objetivo individual, un hombre. Esto implicó satisfacer los criterios mínimos de Facebook (30) subiendo una lista de 29 mujeres y un hombre (el objetivo), y luego seleccionando “Hombre” como criterio de entrega.

El documento sostiene que las restricciones de Facebook, aunque actualizadas posteriormente, son imperfectamente aplicadas y inconsistentes. Mientras que los resultados de un documento anterior obligaron al gigante de los medios sociales a no permitir la configuración de audiencias de menos de 20 en su Administrador de campañas, los autores cuestionan la efectividad del cambio de política, afirmando que ‘Nuestra investigación muestra que este límite no se aplica actualmente’.

Impresiones falsas

Además del rechazo cultural generalizado del escándalo de Cambridge Analytica, que incitó un cambio reluctante de gigantes publicitarios como Google, el “nanotargeting” de anuncios subvierte la comprensión común de que la cultura publicitaria es “cultura general”, compartida, si no por todos, al menos por un grupo demográfico o geográfico amplio.

Los autores del documento señalan una serie de casos en los que se utilizó el “nanotargeting” de manera engañosa, incluido el momento en 2017 en que el político del Partido Laborista del Reino Unido, Jeremy Corbyn, entonces líder del partido de oposición del gobierno, decretó que el Partido Laborista debería ejecutar una campaña publicitaria de Facebook para fomentar el registro de votantes.

Los jefes del Partido Laborista desaprobaron la idea, pero en lugar de entrar en conflicto, simplemente implementaron una campaña publicitaria de £5000 diseñada para apuntar solo a Corbyn y sus asociados, así como a un número selecto de periodistas simpatizantes. Nadie más vio esos anuncios.

Los autores afirman:

‘[El nanotargeting] se puede utilizar efectivamente para manipular a un usuario para persuadirlo de comprar un producto o para convencerlo de cambiar de opinión sobre un tema en particular. También, el nanotargeting podría usarse para crear una percepción falsa en la que el usuario se expone a una realidad que difiere de lo que ven el resto de los usuarios (como sucedió en el caso de Corbyn). Finalmente, el nanotargeting podría explotarse para implementar otras prácticas dañinas, como el chantaje.’

Concluyen:

‘Finalmente, es importante destacar que nuestro trabajo solo ha revelado la punta del iceberg sobre cómo los datos no PII se pueden utilizar para fines de nanotargeting. Nuestro trabajo se basa exclusivamente en los intereses de los usuarios, pero un anunciante puede utilizar otros parámetros sociodemográficos disponibles para configurar audiencias en el [Administrador de anuncios de Facebook], como la ubicación de la casa (país, ciudad, código postal, etc.), lugar de trabajo, universidad, número de hijos, dispositivo móvil utilizado (iOS, Android), etc., para reducir rápidamente el tamaño de la audiencia a nanotargeting a un usuario.’