Facebook: ‘Nanotargeting’ Brukere Utelukkende Basert på Deres Oppfattede Interesser

Forskere har utviklet en metode for å levere en Facebook -reklamekampanje til bare en person av 1,5 milliarder, basert kun på brukerens interesser, og ikke på personlig identifiserbar informasjon (PII), slik som e-postadresser, telefonnumre eller geografisk plassering som vanligvis er forbundet med ‘targeting’-skandaler i de siste årene.

Brukere har begrenset kontroll over disse interessene, som er algoritmer bestemt basert på nettleservaner, ‘likes’ og andre former for interaksjon som Facebook kan identifisere, og som er inkludert i kriteriene for å motta en Facebook-reklame.

Siden interesser er forbundet med Facebook-brukere basert på innholdet de poster og interagerer med, kan brukere bli individuelt målrettede uten å uttrykkelig angi hva deres interesser er i noe av innholdet de poster, og i motsetning til nesten alle nåværende tiltak de kan ta for å beskytte seg mot hyper-spesifik reklame-målretting.

Forskningen antyder også at ‘nanotargeting’ av brukere på denne måten ikke bare er billig, men av og til kostenlos, siden Facebook ofte ikke vil belaste en annonsør for en underbetjent kampanje (dvs. en kampanje som bare nådde en person).

I 2018 etablerte en AdNews studie at på gjennomsnitt ble Facebook-algoritmen tildelt 357 interesser per bruker, hvorav 134 ble vurdert som ‘nøyaktige’.

Høye Interesse Rater

Forfatterne av den nye artikkelen testet sine antagelser på seg selv, og lagde en Facebook-reklamekampanje designet for å ‘nanotarget’ forfatterne ut av en potensiell publikum på 1,5 milliarder Facebook-brukere, basert på en tilfeldig rekke av målinteresser; reklamen ble suksessfullt og eksklusivt levert til målene hvor høyere antall av de tilfeldig valgte interessene ble vurdert (se resultattabell mot slutten av artikkelen).

Forskerne estimerer at en enkelt person kan bli identifisert og målrettede, basert kun på deres interesser, med 90% nøyaktighet, selv om antall interesser som trengs varierer avhengig av hvor vanlige interessene er:

‘Våre resultater indikerer at de 4 sjeldneste [Facebook]-interessene til en bruker gjør dem unike i den nevnte brukerbasen med en 90% sannsynlighet. Hvis vi i stedet betrakter en tilfeldig rekke av interesser, så ville 22 interesser være nødvendige for å gjøre en bruker unik med en 90% sannsynlighet.’

Forfatterne foreslår at denne tilnærmingen til snikskytter-målretting av såkalte generaliserte eller semi-anonyme Facebook-brukerpublikum er bare ‘tippen av isfjellet’ når det gjelder å bruke ikke-PII-data til å omgå nylige innsats og initiativer for å beskytte brukerens personvern i kjølvannet av Cambridge Analytica.

Den artikkelen, med tittelen Unik på Facebook: Formulering og Bevis for (Nano)targeting Enkeltbrukere med ikke-PII-Data, er et samarbeid mellom tre forskere ved Universidad Carlos de III i Madrid, sammen med en dataforsker fra GTD System & Software Engineering og en professor ved Østerrikes Graz University of Technology.

Metodologi

Forskningen ble gjennomført på en datasett samlet inn i januar 2017. Året etter økte Facebook den minste Potensiell Rekkevidde crowd-størrelse for en reklamekampanje fra 20 til 1000, men forskerne bemerker at dette ikke stopper annonsører fra å målrette grupper på mindre enn 1000, men bare fra å kjenne den faktiske størrelsen av målpublikumet som oppnås.

Forskerne bemerker også at tidligere arbeid har demonstrert at 1000-bruker-grensen effektivt kan senkes til så lite som 100, og at 100 brukere er den minste målgruppen som er tilgjengelig for de som ønsker å gjenta arbeidet.

Men, siden datasettene ble samlet inn, har Facebook lagt til ‘Hele verden’ som en potensiell innhentingsområde for kampanjen, noe som betyr at forskerne har bevist sin hypotese under ytterligere restriksjoner som ikke lenger eksisterer (de hadde i stedet å sende inn en filtrert målområde inkludert de 50 landene hvor Facebook har den største brukerbasen, resulterende i en potensiell publikum på 1,5 milliarder brukere).

Data

Dataene ble hentet fra en samling av 2 390 ekte Facebook-brukere som hadde installert forfatternes FDVT nettleser-utvidelse (se bilde nedenfor og video mot slutten av artikkelen) før januar 2017, alle frivillige. Utvidelsen gir brukerne en sanntids estimat av inntekten som deres nettlesing genererer for Facebook, basert på PII og demografisk data som frivillige samtykker i å dele med forskerne.

FDVT nettleserutvidelsen gir den innloggede Facebook-brukeren en strøm av informasjon om personvern og lønnsomhet (for Facebook) om deres nettleseraktiviteter. Kilde: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Forskerne fikk 1,5 millioner data punkter fra 99 000 unike Facebook-interesser forbundet med deltakerne, som hadde en median på 426 registrerte interesser.

Forskerne beregnede så en formel for å fastslå det minste antall interesser nødvendig for å utføre nanotargeting på en enkelt person, og fastslo at bare 4 ‘marginale’ interesser er nødvendige, og at en angreps-sannsynlighet øker når interessene blir mer spesialiserte og mindre representative for brede interesse-trender.

For ’tilfeldige interesser’ – interesser trukket tilfeldig fra poolen av alle tilgjengelige interesse-kategorier – estimerte formelen at ’12, 18, 22 og 27 tilfeldige interesser gjør en bruker unik på Facebook med en sannsynlighet på 50%, 80%, 90% og 95%, henholdsvis’.

Resultater fra forskernes modell, som beregner antall interesser nødvendig for å individuere en bruker under ulike begrensninger. Kilde: https://arxiv.org/pdf/2110.06636.pdf

Nanotargeting Test

Forfatterne lagde målrettede reklamekampanjer rettet mot seg selv ved hjelp av tilfeldige sett av interesser tildelt av Facebook-reklamegrensesnittet. Selv om mer presise resultater kunne ha blitt oppnådd ved å sette ‘marginale’ interesser, foretrakk forfatterne å bevise den brede anvendeligheten av teorien, snarere enn å ‘juke’ ved å nøle på hyper-spesifikke interesser.

Nederst til høyre vises antall interesser som driver reklamen i FDVT-grensesnittet.

Med flere kriterier, inkludert snapshots av ‘Hvorfor ser jeg denne reklamen?’-merket som følger med Facebook-reklamer, etablerte forfatterne kriterier for suksess i form av at målet ble eksklusivt betjent en reklame basert på deres interesser alene. ‘Feil’ ble definert av tilfeller hvor reklamen ble vist ikke bare til forfatteren, men også til andre lesere.

Ni av de 21 kampanjene som ble kjørt, med varierende antall interesser som målkriterier, suksessfullt ‘monotargeted’ den ønskede mottakeren av reklamen, med suksess som økte i henhold til antall interesser identifisert (og husk at ’tilfeldige’ interesser ble brukt for å oppnå disse resultatene, ikke skreddersydd og brukerspesifikke interesser).

Resultater fra nanotargeting-eksperimentet for de tre bidragende forfatterne av artikkelen, som alle eksklusivt mottok minst to nanotargeted reklamer. Flere inntrykk for en suksessfull nanotargeting er resultatet av at reklamen ble vist flere ganger til målet over sideinntrykk, og ikke en indikasjon på at noen andre så reklamen.

Forfatterne innrømmer at den høye kostnaden av manipulative Facebook-reklamekampanjer kunne gjøre denne type angrep uegnet. Men det viser seg at kostnaden var minimal:

‘Uheldigvis viser resultater fra [Facebook] Reklamekampanje-manager at nanotargeting en bruker er ganske billig. Faktisk var den totale kostnaden for de 9 suksessfulle nanotargeting-kampanjene bare 0,12€. Overraskende nok belastet [Facebook] oss ikke med noen kostnader i tre av de suksessfulle nanotargeting-kampanjene som leverte bare 1 reklameinntrykk til den målrettede brukeren.

‘Derfor, i stedet for å være en avskrekkende faktor, kan den ekstremt lave kostnaden av nanotargeting oppmuntre angripere til å utnytte denne praksisen.’

Unngå Facebook ‘Beskyttelse’

Artikkelen bemerker at Facebooks reklametjenester har ‘minste listestørrelser’ som en bruker kan målrette, teknisk sett gjør det umulig å laste opp en bestemt enkelt person som en reklamekampanje-mål. Men forfatterne observerer at disse begrensningene er lett å omgå.

For eksempel bemerker rapporten at en CEO rapporterte i 2017 hvordan han kunne rekruttere en potensiell ansatt fra et annet selskap ved å iscenesette en Facebook-kampanje designet kun for å nå det målrettede individet, en mann. Dette involverte å tilfredsstille Facebooks minste (30) kriterier ved å laste opp en liste på 29 kvinner og en mann (målet), og deretter velge ‘Mann’ som en leveringskriterium.

Artikkelen hevder at Facebooks begrensninger, selv om de har blitt oppdatert, er ufullstendig håndhevet og inkonsistente. Mens resultater fra en tidligere artikkel tvang sosiale medie-giganten til å ikke tillate konfigurasjon av publikum på mindre enn 20 i sin Reklamekampanje-manager, mener forfatterne at ‘Vår forskning viser at denne grensen ikke lenger blir brukt’.

Falske Inntrykk

Foruten den generelle kulturelle tilbakeslaget fra Cambridge Analytica-skandalen, som tvang motvillig endring fra reklamegiganter som Google, undergraver nanotargeting av reklamer den vanlige forståelsen av at reklamekultur er ‘generell’ kultur, delt, om ikke av alle, så i alle fall av en bred demografisk eller geografisk gruppe.

Artikkelen påpeker en rekke tilfeller hvor nanotargeting ble brukt på en bedragerisk måte, inkludert da den britiske Labour-politikeren Jeremy Corbyn, da leder av regjeringens opposisjonsparti, bestemte at Labour skulle kjøre en Facebook-reklamekampanje for å oppmuntre til valgregistrering.

Labour-partiets ledere godtok ikke ideen, men i stedet for å gå i konflikt, implementerte de en £5000-reklamekampanje designet kun for å målrette Corbyn og hans medarbeidere, samt en rekke utvalgte journalister. Ingen andre så disse reklamen.

Forfatterne påpeker:

‘[Nanotargeting] kan bli effektivt brukt til å manipulere en bruker til å overtale dem til å kjøpe en vare eller til å overbevise dem om å endre mening om en bestemt sak. Dessuten kan nanotargeting bli brukt til å skape en falsk forestilling om at brukeren er utsatt for en virkelighet som avviker fra hva resten av brukerne ser (som skjedde i tilfelle Corbyn). Til slutt kan nanotargeting bli utnyttet til å implementere andre skadelige praksiser, som utpressing.’

De konkluderer:

‘Til slutt er det verdt å merke seg at vårt arbeid bare har avdekket tippen av isfjellet når det gjelder hvordan ikke-PII-data kan bli brukt til nanotargeting-formål. Vårt arbeid er avhengig av brukernes interesser, men en annonsør kan bruke andre tilgjengelige sosio-demografiske parametre til å konfigurere publikum i [Facebook] Reklame-manager, som hjemme-plassering (land, by, postkode osv.), arbeidsplass, college, antall barn, mobil enhet brukt (iOS, Android) osv., for å raskt å redusere publikum-størrelsen til å nanotarget en bruker.’