Facebook : ‘Nanotargeting’ des utilisateurs en fonction de leurs seuls intérêts perçus

Les chercheurs ont développé une méthode pour diffuser une campagne publicitaire Facebook à une seule personne sur 1,5 milliard, en fonction uniquement des intérêts de l’utilisateur, et non sur des informations personnelles identifiables (PII), telles que les adresses e-mail, les numéros de téléphone ou la localisation géographique généralement associées aux scandales de ciblage de ces dernières années.

Les utilisateurs ont un contrôle limité sur ces intérêts, qui sont déterminés de manière algorithmique en fonction de leurs habitudes de navigation, de leurs “j’aime” et d’autres formes d’interaction que Facebook peut identifier, et qui sont inclus dans les critères pour recevoir une publicité Facebook.

Puisque les intérêts sont associés aux utilisateurs de Facebook en fonction du contenu qu’ils publient et avec lequel ils interagissent, les utilisateurs peuvent être ciblés individuellement sans jamais avoir explicitement déclaré quels sont leurs intérêts dans le contenu qu’ils publient, et en opposition à presque toutes les mesures actuelles qu’ils pourraient prendre pour se protéger contre un ciblage publicitaire hyper-spécifique.

La recherche suggère également que le “nanotargeting” des utilisateurs de cette manière n’est pas seulement peu coûteux, mais occasionnellement gratuit, puisque Facebook ne facture souvent pas un annonceur pour une campagne sous-serve (c’est-à-dire une campagne qui n’a atteint qu’une seule personne).

En 2018, une étude AdNews a établi qu’en moyenne, Facebook attribue de manière algorithmique 357 intérêts par utilisateur, dont 134 étaient considérés comme “précis”.

Taux d’intérêt élevés

Les auteurs de la nouvelle étude ont testé leurs hypothèses sur eux-mêmes, en créant une campagne publicitaire Facebook conçue pour “nanotargeter” les auteurs parmi un public potentiel de 1,5 milliard d’utilisateurs de Facebook, en fonction d’un ensemble aléatoire d’intérêts ciblés ; les publicités ont été diffusées avec succès et exclusivement aux cibles où un plus grand nombre d’intérêts aléatoirement choisis ont été considérés (voir le tableau de résultats vers la fin de l’article).

Les chercheurs estiment qu’un individu peut être identifié et ciblé, en fonction uniquement de ses intérêts, avec une précision de 90 %, bien que le nombre d’intérêts nécessaires varie en fonction de la rareté des intérêts :

‘Nos résultats indiquent que les 4 intérêts les plus rares d’un utilisateur le rendent unique dans la base d’utilisateurs mentionnée avec une probabilité de 90 %. Si nous considérons au contraire une sélection aléatoire d’intérêts, alors 22 intérêts seraient nécessaires pour rendre un utilisateur unique avec une probabilité de 90 %.’

Les auteurs suggèrent que cette approche de ciblage de sniper de publics d’utilisateurs de Facebook supposément généralisés ou semi-anonymes n’est que “l’extrémité de l’iceberg” en termes d’utilisation de données non PII pour annuler les efforts et initiatives récents pour protéger la vie privée des utilisateurs à la suite du scandale Cambridge Analytica.

Le document, intitulé Unique sur Facebook : Formulation et preuve de (nano)ciblage d’utilisateurs individuels avec des données non PII, est une collaboration entre trois chercheurs de l’Universidad Carlos de III à Madrid, ainsi qu’un scientifique des données de GTD System & Software Engineering et un professeur de l’Université technique de Graz en Autriche.

Méthodologie

La recherche a été menée sur un ensemble de données collecté en janvier 2017. L’année suivante, Facebook a augmenté la taille minimale de la Portée potentielle du public pour une campagne publicitaire de 20 à 1000, mais les chercheurs notent que cela n’empêche pas les annonceurs de cibler des groupes de moins de 1000, mais seulement de connaître la taille réelle du public ciblé.

Les chercheurs notent également que des travaux antérieurs ont démontré que la limite de 1000 utilisateurs peut être effectivement abaissée à 100, et que 100 utilisateurs est le plus petit groupe cible disponible pour ceux qui souhaitent reproduire le travail.

Cependant, depuis que l’ensemble de données a été compilé, Facebook a ajouté ‘Monde entier’ comme zone de capture potentielle pour la campagne, ce qui signifie que les chercheurs ont prouvé leur hypothèse sous des restrictions supplémentaires qui n’existent plus (ils ont dû soumettre une cible de localisation filtrée comprenant les 50 pays où Facebook a la plus grande présence d’utilisateurs, aboutissant à un public potentiel de 1,5 milliard d’utilisateurs).

Données

Les données ont été obtenues à partir d’un ensemble de 2 390 utilisateurs de Facebook authentiques qui avaient installé l’extension de navigateur FDVT des auteurs avant janvier 2017, tous des volontaires. L’extension fournit aux utilisateurs une estimation en temps réel des revenus que leur navigation génère pour Facebook, en fonction des données PII et démographiques que les volontaires acceptent de partager avec les chercheurs.

L’extension de navigateur FDVT fournie par les chercheurs donne à l’utilisateur de Facebook connecté un flux d’informations sur les aspects de confidentialité et de rentabilité (pour Facebook) de ses activités de navigation. Source : https://www.youtube.com/watch?v=Gb6mwJqHhCI

Les chercheurs ont obtenu 1,5 million de points de données à partir de 99 000 intérêts uniques de Facebook associés aux participants, qui avaient un nombre médian de 426 intérêts enregistrés.

Les chercheurs ont ensuite calculé une formule pour établir le nombre minimum d’intérêts nécessaires pour effectuer un nanotargeting sur un individu, en établissant que seuls 4 intérêts “marginaux” sont requis, et que la probabilité d’attaque augmente à mesure que les intérêts deviennent plus spécialisés et moins représentatifs des tendances d’intérêt générales.

Pour les “intérêts aléatoires” – intérêts tirés arbitrairement du pool de toutes les catégories d’intérêts disponibles – la formule a estimé que ’12, 18, 22 et 27 intérêts aléatoires rendent un utilisateur unique sur FB avec une probabilité de 50 %, 80 %, 90 % et 95 %, respectivement’.

Résultats du modèle des chercheurs, calculant le nombre d’intérêts nécessaires pour individualiser un utilisateur sous diverses contraintes. Source : https://arxiv.org/pdf/2110.06636.pdf

Test de nanotargeting

Les auteurs ont créé des campagnes publicitaires ciblées visant à “nanotargeter” eux-mêmes en utilisant des ensembles aléatoires d’intérêts attribués par l’interface publicitaire de Facebook. Bien que des résultats plus précis aient pu être obtenus en définissant des intérêts “marginaux”, les auteurs ont préféré prouver l’applicabilité générale de la théorie, plutôt que de “tricher” en se concentrant sur des intérêts hyper-spécifiques.

Dans le coin inférieur droit, le nombre d’intérêts alimentant la publicité est affiché dans l’interface FDVT.

En utilisant plusieurs critères, notamment des captures d’écran de l’avis “Pourquoi est-ce que je vois cette publicité ?” inclus avec les publicités Facebook, les auteurs ont établi des critères de réussite en termes de cible exclusive qui reçoit une publicité en fonction de ses seuls intérêts. Le “défaillance” a été défini par des cas où la publicité a été affichée non seulement à l’auteur, mais également à d’autres lecteurs.

Neuf des 21 campagnes menées, avec des nombres variables d’intérêts en tant que critères ciblés, ont réussi à “monotargeter” exclusivement le destinataire prévu de la publicité, avec une réussite croissante en fonction du nombre d’intérêts identifiés (et en rappelant que des intérêts “aléatoires” ont été utilisés pour obtenir ces résultats, et non des intérêts spécifiques et conçus pour l’utilisateur).

Résultats de l’expérience de nanotargeting pour les trois auteurs contributeurs du document, qui ont tous reçu au moins deux publicités nanotargetées de manière exclusive. Les impressions multiples pour un nanotargeting réussi sont le résultat de la publicité étant affichée plusieurs fois à la cible à travers les impressions de page, et non une indication que quelqu’un d’autre a vu la publicité.

Les auteurs reconnaissent que le coût élevé des campagnes publicitaires manipulatrices de Facebook pourrait rendre ce type d’attaque non réalisable. Cependant, il s’avère que le coût a été minimal :

‘Malheureusement, les résultats extraits du [Gestionnaire de campagnes publicitaires de Facebook] prouvent que le nanotargeting d’un utilisateur est plutôt peu coûteux. En effet, le coût total des 9 campagnes de nanotargeting réussies n’était que de 0,12 €. Étonnamment, [Facebook] ne nous a facturé rien pour trois des campagnes de nanotargeting réussies qui n’ont livré qu’une seule impression de publicité à l’utilisateur ciblé.

‘Par conséquent, plutôt qu’un facteur dissuasif, le coût extrêmement faible du nanotargeting peut encourager les attaquants à exploiter cette pratique.’

Contournement des “protections” de Facebook

Le document note que les services publicitaires de Facebook ont des “tailles de liste minimales” que l’utilisateur peut cibler, ce qui rend techniquement impossible de télécharger un individu spécifique en tant que cible de campagne publicitaire. Cependant, les auteurs observent que ces restrictions sont déloyalement faciles à contourner.

Par exemple, le rapport observe qu’un PDG a rapporté en 2017 comment il a pu débaucher un employé potentiel d’une autre entreprise en orchestrant une campagne publicitaire de Facebook conçue uniquement pour atteindre cet individu ciblé, un homme. Cela impliquait de satisfaire les critères minimum (30) de Facebook en téléchargeant une liste de 29 femmes et d’un homme (la cible), puis de sélectionner “Homme” en tant que critère de livraison.

Le document soutient que les restrictions de Facebook, bien que mises à jour par la suite, sont imparfaitement appliquées et incohérentes. Alors que les résultats d’un document antérieur ont forcé le géant des médias sociaux à interdire la configuration d’audiences de moins de 20 dans son Gestionnaire de campagnes publicitaires, les auteurs contestent l’efficacité du changement de politique, affirmant que ‘Notre recherche montre que cette limite n’est pas actuellement appliquée’.

Faux-semblants

Outre le backlash culturel général provoqué par le scandale Cambridge Analytica, qui a incité un changement réticent de la part de géants de la publicité tels que Google, le nanotargeting de publicités sape la compréhension commune selon laquelle la culture publicitaire est une “culture générale”, partagée, sinon par tous, du moins par un groupe démographique ou géographique large.

Les auteurs du document soulignent un certain nombre de cas où le nanotargeting a été utilisé de manière trompeuse, notamment le moment en 2017 où le politicien travailliste britannique Jeremy Corbyn, alors chef de l’opposition, a décrété que le Labour devait lancer une campagne publicitaire de Facebook pour encourager l’inscription des électeurs.

Les dirigeants du parti travailliste ont désapprouvé l’idée, mais plutôt que d’entrer en conflit, ils ont simplement mis en œuvre une campagne publicitaire de 5 000 £ conçue pour ne cibler que Corbyn et ses associés, ainsi qu’un petit nombre de journalistes sympathisants. Personne d’autre n’a vu ces publicités.

Les auteurs déclarent :

‘[Le nanotargeting] peut être utilisé efficacement pour manipuler un utilisateur pour le convaincre d’acheter un produit ou pour le convaincre de changer d’avis sur une question particulière. De plus, le nanotargeting pourrait être utilisé pour créer une fausse perception dans laquelle l’utilisateur est exposé à une réalité qui diffère de celle que voient les autres utilisateurs (comme cela s’est produit dans le cas de Corbyn). Enfin, le nanotargeting pourrait être exploité pour mettre en œuvre d’autres pratiques nuisibles, telles que le chantage.’

‘Enfin, il est important de noter que notre travail n’a révélé que l’extrémité de l’iceberg concernant la manière dont les données non PII peuvent être utilisées à des fins de nanotargeting. Notre travail repose exclusivement sur les intérêts des utilisateurs, mais un annonceur peut utiliser d’autres paramètres socio-démographiques disponibles pour configurer des audiences dans le [Gestionnaire de campagnes publicitaires de Facebook] tels que la localisation domicile (pays, ville, code postal, etc.), le lieu de travail, le collège, le nombre d’enfants, le dispositif mobile utilisé (iOS, Android), etc, pour réduire rapidement la taille du public à nanotargeter un utilisateur.’