Facebook: ‘Nanotargeting’ Brukerne Basert Bare på Deres Oppfattede Interesser

Forskere har utviklet en metode for å levere en Facebook-reklamekampanje til bare én person av 1,5 milliarder, basert bare på brukerens interesser, og ikke på personlig identifiserbar informasjon (PII), som e-postadresser, telefonnumre eller geografisk plassering som vanligvis er forbundet med ‘targeting’-skandaler i de siste årene.

Brukere har begrenset kontroll over disse interessene, som er algoritmer bestemt basert på nettleservaner, ‘likes’ og andre former for interaksjon som Facebook kan identifisere, og som er inkludert i kriteriene for å motta en Facebook-reklame.

Siden interessene er forbundet med Facebook-brukere basert på innholdet de poster og interagerer med, kan brukere være individuelt målrettede uten å noen gang uttrykkelig angi hva deres interesser er i noe av innholdet de poster, og i motsetning til nesten alle nåværende tiltak de kan ta for å beskytte seg mot hyper-spesifik reklame-målretting.

Forskningen antyder også at ‘nanotargeting’ av brukere på denne måten ikke bare er billig, men av og til kostnadsfritt, siden Facebook ofte ikke tar betalt for en underbetjent kampanje (dvs. en kampanje som bare nådde én person).

I 2018 fastslo en AdNews studie at Facebook i gjennomsnitt tildeler 357 interesser per bruker, hvorav 134 ble vurdert som ‘nøyaktige’.

Høye Interesse Rater

Forfatterne av den nye artikkelen testet sine antagelser på seg selv, og lagde en Facebook-reklamekampanje designet for å ‘nanotarget’ forfatterne ut av en potensiell publikum på 1,5 milliarder Facebook-brukere, basert på en tilfeldig rekke målinteresser; reklamen ble suksessfullt og eksklusivt levert til målene hvor høyere antall av de tilfeldig valgte interessene ble vurdert (se resultattabell mot slutten av artikkelen).

Forskerne estimerer at en enkelt person kan identifiseres og målrettes, basert bare på deres interesser, med 90% nøyaktighet, selv om antall interesser som trengs varierer avhengig av hvor vanlige interessene er:

‘Våre resultater indikerer at de 4 sjeldneste [Facebook] interessene til en bruker gjør dem unike i den nevnte brukerbasen med en 90% sannsynlighet. Hvis vi i stedet betrakter en tilfeldig utvalg av interesser, så ville 22 interesser være nødvendige for å gjøre en bruker unik med en 90% sannsynlighet.’

Forfatterne foreslår at denne tilnærmingen til snikskytter-målretting av såkalte generaliserte eller semi-anonyme Facebook-brukerpublikum er bare ‘tippen av isfjellet’ når det gjelder å bruke ikke-PII-data til å omgå nylige innsats og initiativer for å beskytte brukerens personvern i kjølvannet av Cambridge Analytica.

Den artikkelen, med tittelen Unik på Facebook: Formulering og Bevis på (Nano)targeting Enkeltbrukere med ikke-PII-Data, er et samarbeid mellom tre forskere ved Universidad Carlos de III i Madrid, sammen med en dataforsker fra GTD System & Software Engineering og en professor ved Østerrikes Graz Universitet for Teknologi.

Metodologi

Forskningen ble gjennomført på en datasett samlet inn i januar 2017. Året etter økte Facebook den minste Potensiell Rekkevidde crowd-størrelse for en reklamekampanje fra 20 til 1000, men forskerne bemerker at dette ikke stopper annonser fra å målrette grupper på mindre enn 1000, men bare fra å vite den aktuelle størrelsen på målpublikummet som er oppnådd.

Forskerne bemerker også at tidligere arbeid har demonstrert at 1000-brukergrensen effektivt kan senkes til så lite som 100, og at 100 brukere er den minste målgruppen som er tilgjengelig for de som ønsker å gjenta arbeidet.

Men siden datasetten ble samlet inn, har Facebook lagt til ‘Hele verden’ som en potensiell innhentingsområde for kampanjen, som betyr at forskerne har bevist sin hypotese under ekstra begrensninger som ikke lenger eksisterer (de måtte i stedet sende inn et filtert geografisk mål som inkluderte de 50 landene hvor Facebook har den største brukerbasen, resulterende i en potensiell publikum på 1,5 milliarder brukere).

Data

Dataene ble hentet fra en gruppe på 2 390 ekte Facebook-brukere som hadde installert forfatternes FDVT nettleser utvidelse (se bilde nedenfor og video ved slutten av artikkelen) før januar 2017, alle frivillige. Utvidelsen gir brukerne en sanntids estimat av inntekten som deres nettlesing genererer for Facebook, basert på PII og demografisk data som frivillige samtykker til å dele med forskerne.

FDVT nettleserutvidelsen som er gitt av forskerne, gir den innloggede Facebook-brukeren en strøm av informasjon om personvern og lønnsomhet (for Facebook) om deres nettleseraktiviteter. Kilde: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Forskerne fikk 1,5 millioner datapunkter fra 99 000 unike Facebook-interesser forbundet med deltakerne, som hadde en median på 426 registrerte interesser.

Forskerne beregnede så en formel for å fastslå det minste antall interesser nødvendige for å utføre nanotargeting på en enkelt person, og fastslo at bare 4 ‘marginale’ interesser er nødvendige, og at en angreps-sannsynlighet øker etterhvert som interessene blir mer spesialiserte og mindre representative for bred interesse-trender.

For ’tilfeldige interesser’ – interesser trukket tilfeldig fra bassen av alle tilgjengelige interesse-kategorier – estimerte formelen at ’12, 18, 22, og 27 tilfeldige interesser gjør en bruker unik på FB med en sannsynlighet på 50%, 80%, 90%, og 95%, henholdsvis’.

Resultater fra forskernes modell, som beregner antall interesser nødvendige for å individuere en bruker under ulike begrensninger. Kilde: https://arxiv.org/pdf/2110.06636.pdf

Nanotargeting Test

Forfatterne lagde målrettede reklamekampanjer rettet mot seg selv ved hjelp av tilfeldige sett med interesser tildelt av Facebook-reklamegrensesnittet. Selv om mer presise resultater kunne ha vært oppnådd ved å sette ‘marginale’ interesser, foretrakk forfatterne å bevise den brede anvendeligheten av teorien, snarere enn å ‘juke’ ved å fokusere på hyper-spesifikke interesser.

I nedre høyre hjørne vises antall interesser som driver reklamen innenfor FDVT-grensesnittet.

Ved hjelp av flere kriterier, inkludert snapshots av ‘Hvorfor ser jeg denne reklamen?’-merket som er inkludert med Facebook-reklamer, fastslo forfatterne kriterier for suksess i form av at målet ble eksklusivt betjent en reklame basert på deres interesser alene. ‘Feil’ ble definert av tilfeller hvor reklamen ble vist ikke bare til forfatteren, men også til andre lesere.

Ni av de 21 kampanjene som ble kjørt, med varierende antall interesser som målkriterier, suksessfullt ‘monotargetet’ den ønskede mottakeren av reklamen, med suksess som økte i henhold til antall interesser identifisert (og husk at ’tilfeldige’ interesser ble brukt for å oppnå disse resultatene, ikke skreddersydd og brukerspesifikke interesser).

Resultater fra nanotargeting-eksperimentet for de tre bidragsyterne til artikkelen, som alle eksklusivt mottok minst to nanotargetede reklamer. Flere inntrykk for en suksessfull nanotargeting er resultatet av at reklamen ble vist flere ganger til målet over sideinntrykk, og ikke en indikasjon på at noen andre så reklamen.

Forfatterne innrømmer at den høye kostnaden av manipulative Facebook-reklamekampanjer kunne gjøre denne type angrep uegnet. Men det viser seg at kostnaden var minimal:

‘Uheldigvis, resultater fra [Facebook] Reklamekampanjeleder [beviser] at nanotargeting en bruker er ganske billig. Faktisk, den totale kostnaden for de 9 suksessfulle nanotargeting-kampanjene var bare 0,12€. Overraskende, [Facebook] tok ikke betalt for oss i tre av de suksessfulle nanotargeting-kampanjene som leverte bare 1 reklameinntrykk til den målrettede brukeren.

‘Derfor, i stedet for å være en avskrekkende faktor, kan den ekstremt lave kostnaden av nanotargeting oppmuntre angripere til å utnytte denne praksisen.’

Unngå Facebook ‘Beskyttelse’

Artikkelen bemerker at Facebooks reklametjenester har ‘minste liste-størrelser’ som en bruker kan målrette, teknisk sett gjør det umulig å laste opp en bestemt enkelt person som reklamekampanje-mål. Men forfatterne observerer at disse begrensningene er lett å omgå.

For eksempel observerer rapporten at en CEO rapporterte i 2017 hvordan han kunne rekruttere en potensiell ansatt fra et annet selskap ved å organisere en Facebook-kampanje designet bare for å nå det målindividet, en mann. Dette involverte å tilfredsstille Facebooks minste (30) kriterier ved å laste opp en liste på 29 kvinner og én mann (målet), og deretter velge ‘Mann’ som leveringskriterium.

Artikkelen hevder at Facebooks begrensninger, selv om de har blitt oppdatert, er ufullstendig håndhevet og inkonsistente. Mens resultater fra en tidligere artikkel tvang sosiale medier-giganten til å ikke tillate konfigurasjon av publikum på mindre enn 20 i sin Reklamekampanjeleder, mener forfatterne at ‘Vår forskning viser at denne grensen ikke nå er i bruk’.

Falske Inntrykk

Foruten den generelle kulturelle tilbakeslaget fra Cambridge Analytica-skandalen, som utløste motvillig endring fra reklamegiganter som Google, undergraver nanotargeting av reklamer den vanlige forståelsen av at reklamekultur er ‘generell’ kultur, delt, hvis ikke av alle, så i alle fall av en bred demografisk eller geografisk gruppe.

Artikkelforfatterne peker på en rekke tilfeller hvor nanotargeting ble brukt på en bedragerisk måte, inkludert da den britiske Labour-politikeren Jeremy Corbyn, da leder av regjeringens opposisjon, fastslo at Labour skulle kjøre en Facebook-reklamekampanje for å oppmuntre til valgregistrering.

Labour-partiets ledere mislikte ideen, men i stedet for å gå inn i konflikt, implementerte de en £5000-reklamekampanje designet for å bare målrette Corbyn og hans medarbeidere, samt en håndfull journalister som var positive til partiet. Ingen andre så disse reklamen.

Forfatterne fastslår:

‘[Nanotargeting] kan være effektivt brukt til å manipulere en bruker til å overtale dem til å kjøpe en vare eller til å overbevise dem om å endre mening om et bestemt spørsmål. Dessuten kan nanotargeting brukes til å skape en falsk forestilling hvor brukeren utsettes for en virkelighet som avviker fra hva resten av brukerne ser (som skjedde i tilfelle Corbyn). Til slutt kan nanotargeting utnyttes til å implementere andre skadelige praksiser som utpressing.’

De konkluderer:

‘Til slutt er det verdt å merke seg at vår arbeid bare har avdekket tippen av isfjellet når det gjelder hvordan ikke-PII-data kan brukes til nanotargeting-formål. Vår arbeid baserer seg utelukkende på brukernes interesser, men en annonser kan bruke andre tilgjengelige sosio-demografiske parametre til å konfigurere publikum i [Facebook] Reklameleder, som hjemme-plassering (land, by, postnummer osv.), arbeidsplass, college, antall barn, mobil enhet brukt (iOS, Android) osv., for å raskt å begrense publikumstørrelsen til å nanotargete en bruker.’