Facebook: ‘Nanotargeting’ Użytkowników Wyłącznie Na Podstawie Ich Zainteresowań

Badacze opracowali metodę dostarczania kampanii reklamowej na Facebooku do tylko jednej osoby spośród 1,5 miliarda, wyłącznie na podstawie zainteresowań użytkownika, a nie informacji osobistych (PII), takich jak adresy e-mail, numery telefonów lub lokalizacja geograficzna, zwykle kojarzone z “skandalami celowania” z ostatnich lat.

Użytkownicy mają ograniczoną kontrolę nad tymi zainteresowaniami, które są określane algorytmicznie na podstawie nawyków przeglądania, “polubień” i innych form interakcji, które Facebook jest w stanie zidentyfikować, i które są uwzględnione w kryteriach dla otrzymania reklamy na Facebooku.

Ponieważ zainteresowania są kojarzone z użytkownikami Facebooka na podstawie zawartości, którą publikują i z którą wchodzą w interakcję, użytkownicy mogą być indywidualnie wybrani bez wyraźnego określenia swoich zainteresowań w jakiejkolwiek zawartości, którą publikują, i w przeciwieństwie do niemal wszystkich obecnych środków, które mogliby podjąć w celu ochrony się przed hiper-specyficznym ukierunkowaniem reklam.

Badania sugerują również, że “nanocelowanie” użytkowników w ten sposób nie tylko jest tanie, ale czasem darmowe, ponieważ Facebook często nie pobiera opłaty od reklamodawcy za kampanię, która nie osiągnęła zamierzonego efektu (tj. kampanii, która dotarła tylko do jednej osoby).

W 2018 roku badanie AdNews ustaliło, że średnio Facebook algorytmicznie przypisuje 357 zainteresowań na użytkownika, z czego 134 zostały ocenione jako “dokładne”.

Wysokie Stopy Zainteresowania

Autorzy nowego artykułu przetestowali swoje założenia na sobie, tworząc kampanię reklamową na Facebooku zaprojektowaną do “nanocelowania” autorów spośród potencjalnej publiczności 1,5 miliarda użytkowników Facebooka, na podstawie losowego zestawu zainteresowań docelowych; reklamy były pomyślnie i wyłącznie dostarczane do celów, gdzie większa liczba losowo wybranych zainteresowań była brana pod uwagę (zobacz tabelę wyników na końcu artykułu).

Badacze szacują, że osobę można zidentyfikować i wybrać na podstawie tylko ich zainteresowań z dokładnością 90%, chociaż liczba zainteresowań wymaganych różni się w zależności od tego, jak powszechne są zainteresowania:

‘Nasze wyniki wskazują, że 4 najrzadsze zainteresowania użytkownika czynią go unikalnym w wymienionej bazie użytkowników z prawdopodobieństwem 90%. Jeśli zamiast tego rozważymy losowy wybór zainteresowań, to 22 zainteresowania będą wymagane, aby uczynić użytkownika unikalnym z prawdopodobieństwem 90%.’

Autorzy sugerują, że ten podejście do precyzyjnego ukierunkowania rzekomo uogólnionych lub pół-anonimowych publiczności użytkowników Facebooka jest tylko “czubkiem lodu” w zakresie wykorzystania danych non-PII do podważenia niedawnych wysiłków i inicjatyw mających na celu ochronę prywatności użytkowników w następstwie skandalu Cambridge Analytica.

Artykuł artykuł, zatytułowany Unikalny na Facebooku: Formułowanie i Dowody (Nano)celowania Indywidualnych Użytkowników z Użyciem Danych non-PII, jest współpracą między trzema badaczami z Universidad Carlos de III w Madrycie, a także z naukowcem danych z GTD System & Software Engineering i profesorem na Uniwersytecie Technicznym w Grazu.

Metodologia

Badania zostały przeprowadzone na zbiorze danych zebranych w styczniu 2017 roku. W następnym roku Facebook zwiększył minimalną Potencjalny Zasięg wielkości tłumu dla kampanii reklamowej z 20 do 1000, ale badacze zauważają, że to nie powstrzymuje reklamodawców od ukierunkowania grup mniejszych niż 1000, ale tylko od poznania rzeczywistej wielkości docelowej publiczności uzyskanej.

Badacze zauważają również, że wcześniejsze prace udowodniły, że limit 1000 użytkowników może być skutecznie obniżony do zaledwie 100, i że 100 użytkowników jest najmniejszą grupą docelową dostępną dla tych, którzy chcą odtworzyć pracę.

Jednak od czasu zebrania danych Facebook dodał ‘Cały świat’ jako potencjalny obszar pozyskiwania kampanii, co oznacza, że badacze udowodnili swoją hipotezę pod dodatkowymi ograniczeniami, które nie istnieją już (mieli zamiast tego przedstawić przefiltrowaną lokalizację celu, w tym 50 krajów, w których Facebook ma największą liczbę użytkowników, co skutkowało potencjalną publicznością 1,5 miliarda użytkowników).

Dane

Dane pochodzą z grupy 2390 prawdziwych użytkowników Facebooka, którzy zainstalowali rozszerzenie przeglądarki FDVT (zobacz obraz poniżej i film na końcu artykułu) przed styczniem 2017 roku, wszyscy ochotnicy. Rozszerzenie zapewnia użytkownikom rzeczywistą estymację dochodu, jaki generują dla Facebooka, na podstawie danych osobowych i demograficznych, które wolontariusze zgadzają się udostępnić badaczom.

Rozszerzenie przeglądarki FDVT zapewnione przez badaczy dostarcza zalogowanemu użytkownikowi Facebooka strumienia informacji o aspektach prywatności i dochodowości (dla Facebooka) ich działań przeglądania. Źródło: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Badacze uzyskali 1,5 miliona punktów danych z 99 000 unikalnych zainteresowań Facebooka związanych z uczestnikami, którzy mieli medianę 426 zarejestrowanych zainteresowań.

Badacze obliczyli następnie wzór, aby ustalić minimalną liczbę zainteresowań niezbędnych do wykonania nanocelowania na osobę, ustalając, że tylko 4 “marginalne” zainteresowania są wymagane, i że prawdopodobieństwo ataku wzrasta wraz ze zwiększaniem się specjalizacji zainteresowań i zmniejszaniem ich reprezentatywności wobec ogólnych trendów zainteresowań.

Dla “losowych zainteresowań” – zainteresowań losowo wybranych z puli wszystkich dostępnych kategorii zainteresowań – wzór oszacował, że ’12, 18, 22 i 27 losowych zainteresowań czynią użytkownika unikalnym na Facebooku z prawdopodobieństwem 50%, 80%, 90% i 95%, odpowiednio’.

Wyniki z modelu badaczy, obliczającego liczbę zainteresowań niezbędnych do identyfikacji użytkownika pod różnymi ograniczeniami. Źródło: https://arxiv.org/pdf/2110.06636.pdf

Test Nanocelowania

Autorzy stworzyli kampanie reklamowe ukierunkowane na siebie, używając losowych zestawów zainteresowań przypisanych przez interfejs reklam Facebooka. Chociaż bardziej precyzyjne wyniki mogłyby być uzyskane przez ustawienie “marginalnych” zainteresowań, autorzy preferowali udowodnić szeroką stosowalność teorii, zamiast “oszukiwać” przez ukierunkowanie na hiper-specyficzne zainteresowania.

W prawym dolnym rogu wyświetlana jest liczba zainteresowań napędzających reklamę w interfejsie FDVT.

Używając kilku kryteriów, w tym migawek powiadomienia “Dlaczego widzę tę reklamę?” włączonego z reklamami Facebooka, autorzy ustalili kryteria sukcesu w zakresie wyłącznego dostarczania reklamy do celu na podstawie ich zainteresowań tylko. “Niepowodzenie” zostało zdefiniowane przez przypadki, w których reklama była wyświetlana nie tylko autorowi, ale także innym czytelnikom.

Dziewięć z 21 kampanii, z różną liczbą zainteresowań jako kryterium docelowym, pomyślnie “monotargetowało” zamierzonego odbiorcę reklamy, z rosnącym powodzeniem w zależności od liczby zidentyfikowanych zainteresowań (i pamiętając, że “losowe” zainteresowania zostały użyte do uzyskania tych wyników, a nie wytworzone i specyficzne dla użytkownika zainteresowania).

Wyniki eksperymentu nanocelowania dla trzech współautorów artykułu, wszyscy otrzymali co najmniej dwie nanocelowane reklamy. Wielokrotne wrażenia z powodzenia nanocelowania są wynikiem wyświetlenia reklamy wielokrotnie do celu w różnych impresjach strony, a nie wskazaniem, że ktoś inny zobaczył reklamę.

Autorzy przyznają, że wysoki koszt manipulatywnych kampanii reklamowych na Facebooku może sprawić, że tego rodzaju atak będzie nieopłacalny. Jednak okazuje się, że koszt był minimalny:

‘Niestety, wyniki wyodrębnione z menedżera kampanii Facebooka [udowodniły], że nanocelowanie użytkownika jest dość tanie. W rzeczywistości, całkowity koszt 9 udanych kampanii nanocelowania wyniósł tylko 0,12€. Co więcej, Facebook nie pobierał od nas opłaty za trzy udane kampanie nanocelowania, które dostarczyły tylko 1 wrażenie do użytkownika docelowego.

‘Dlatego, zamiast czynnika zniechęcającego, ekstremalnie niski koszt nanocelowania może zachęcać atakujących do wykorzystania tej praktyki.’

Ominięcie Ochrony Facebooka

Artykuł zauważa, że usługi reklamowe Facebooka mają “minimalne rozmiary list” użytkowników, których można wybrać, co technicznie uniemożliwia przesłanie określonej osoby jako celu kampanii reklamowej. Jednak autorzy obserwują, że te ograniczenia są trywialne do ominięcia.

Na przykład, raport obserwuje, że CEO zgłosił w 2017 roku, jak udało mu się pozyskać potencjalnego pracownika z innego przedsiębiorstwa, organizując kampanię na Facebooku zaprojektowaną tylko do dotarcia do tego celu, mężczyzny. To wymagało spełnienia minimalnych (30) kryteriów przez przesłanie listy 29 kobiet i jednego mężczyzny (celu), a następnie wybranie “Mężczyzna” jako kryterium dostarczania.

Artykuł twierdzi, że ograniczenia Facebooka, chociaż później zaktualizowane, są niedoskonale egzekwowane i niespójne. Podczas gdy wyniki wcześniejszego artykułu zmusiły giganta mediów społecznościowych do zabronienia konfigurowania publiczności mniejszej niż 20 w menedżerze kampanii reklamowej, autorzy kwestionują skuteczność zmiany polityki, stwierdzając, że ‘Nasze badania pokazują, że ten limit nie jest obecnie stosowany’.

Fałszywe Wrażenia

Poza ogólnym kulturowym sprzeciwem wobec skandalu Cambridge Analytica, który wywołał niechętną zmianę ze strony gigantów reklamowych, takich jak Google, nanocelowanie reklam podważa powszechne rozumienie, że kultura reklam jest “ogólną” kulturą, dzieloną, jeśli nie przez wszystkich, to przynajmniej przez szeroką grupę demograficzną lub geograficzną.

Autorzy artykułu zwracają uwagę na kilka przypadków, w których nanocelowanie było używane w sposób mylący, w tym czas, gdy w 2017 roku brytyjski polityk Partii Pracy Jeremy Corbyn, wówczas lider opozycji rządowej, zarządził, że Partia Pracy powinna uruchomić kampanię reklamową na Facebooku, aby zachęcić do rejestracji wyborców.

Szefowie Partii Pracy nie zaakceptowali pomysłu, ale zamiast wchodzenia w konflikt, po prostu zaimplementowali kampanię reklamową o wartości 5000 funtów, zaprojektowaną do dotarcia tylko do Corbynów i ich współpracowników, a także do wybranych dziennikarzy. Nikt inny nie zobaczył tych reklam.

Autorzy stwierdzają:

‘[Nanocelowanie] może być skutecznie używane do manipulowania użytkownikiem, aby przekonać go do zakupu produktu lub do zmiany jego zdania na temat określonej kwestii. Ponadto, nanocelowanie może być używane do stworzenia fałszywej percepcji, w której użytkownik jest narażony na rzeczywistość, która różni się od tego, co widzą inni użytkownicy (jak to miało miejsce w przypadku Corbynów). Wreszcie, nanocelowanie może być wykorzystane do wdrożenia innych szkodliwych praktyk, takich jak szantaz.’

Kończą:

‘Wreszcie, warto zauważyć, że nasza praca ujawniła tylko czubek lodu, jeśli chodzi o to, jak dane non-PII mogą być używane do celów nanocelowania. Nasza praca opiera się wyłącznie na zainteresowaniach użytkowników, ale reklamodawca może użyć innych dostępnych parametrów socjo-demograficznych do konfigurowania publiczności w menedżerze reklam Facebooka, takich jak lokalizacja domu (kraj, miasto, kod pocztowy itp.), miejsce pracy, college, liczba dzieci, urządzenie mobilne używane (iOS, Android) itp., aby szybko zmniejszyć rozmiar publiczności do nanocelowania użytkownika.’