Facebook: ‘Nanotargeting’ Användare Utifrån Enbart Deras Uppfattade Intressen

Forskare har utvecklat en metod för att leverera en Facebook -annonskampanj till bara en person av 1,5 miljarder, baserat enbart på användarens intressen, och inte på personligt identifierbar information (PII), såsom e-postadresser, telefonnummer eller geografisk plats som vanligtvis förknippas med ‘riktade’ skandaler under de senaste åren.

Användare har begränsad kontroll över dessa intressen, som bestäms algoritmiskt baserat på deras surfvanor, ‘gilla-markeringar’ och andra former av interaktion som Facebook kan identifiera, och som ingår i kriterierna för att visas en Facebook-annons.

Eftersom intressen är associerade med Facebook-användare baserat på innehållet de publicerar och interagerar med, kan användare individuellt riktas utan att explicit ange vad deras intressen är i något av innehållet de publicerar, och i motsats till nästan alla nuvarande åtgärder de kan vidta för att skydda sig från hyper-specifika annonsriktningar.

Forskningen visar också att ‘nanotargeting’ av användare på detta sätt inte bara är billigt, utan ibland kostnadsfritt, eftersom Facebook ofta inte tar betalt av en annonsör för en underbetjänad kampanj (dvs. en kampanj som bara nådde en person).

År 2018 fastställde en AdNews-studie att Facebook i genomsnitt tilldelar 357 intressen per användare, varav 134 bedömdes som ‘korrekta’.

Höga Intressefrekvenser

Författarna till den nya artikeln testade sina antaganden på sig själva, skapade en Facebook-annonskampanj som var avsedd att ‘nanotargeta’ författarna ur en potentiell publik på 1,5 miljard Facebook-användare, baserat på en slumpmässig uppsättning målintressen; annonserna levererades framgångsrikt och exklusivt till målen där högre antal slumpmässigt valda intressen ansågs (se resultattabell mot slutet av artikeln).

Forskarna uppskattar att en individ kan identifieras och riktas, baserat enbart på deras intressen, med 90% noggrannhet, även om antalet intressen som behövs varierar beroende på hur vanliga intressena är:

‘Våra resultat visar att de 4 ovanligaste [Facebook]-intressena för en användare gör dem unika i den nämnda användarbasen med 90% sannolikhet. Om vi istället överväger ett slumpmässigt urval av intressen, skulle 22 intressen krävas för att göra en användare unik med 90% sannolikhet.’

Författarna föreslår att denna metod för att rikta in sig på påstått allmänna eller semi-anonyma Facebook-användarpubliker bara är ‘toppen av isberget’ när det gäller att använda icke-PII-data för att ogöra nyliga insatser och initiativ för att skydda användarintegritet i kölvattnet av Cambridge Analytica.

Den artikeln, med titeln Unik på Facebook: Formulering och Bevis för (Nano)riktning av enskilda användare med icke-PII-data, är ett samarbete mellan tre forskare vid Universidad Carlos de III i Madrid, tillsammans med en dataforskare från GTD System & Software Engineering och en professor vid Österrikes Graz University of Technology.

Metod

Forskningen genomfördes på en dataset som samlades in i januari 2017. Året därpå ökade Facebook den minsta Potentiella Räckvidd för en annonskampanj från 20 till 1000, men forskarna noterar att detta inte stoppar annonsörer från att rikta in sig på grupper med färre än 1000, utan bara från att veta den faktiska storleken på den målgrupp som uppnåddes.

Forskarna noterar också att tidigare arbete har visat att 1000-användargränsen i princip kan sänkas till så lite som 100, och att 100 användare är den minsta målgruppen som är tillgänglig för dem som vill reproducera arbetet.

Men sedan datasetet samlades in har Facebook lagt till ‘Hela världen’ som en potentiell upptagningsområde för kampanjen, vilket innebär att forskarna har bevisat sin hypotes under ytterligare begränsningar som inte längre existerar (de var tvungna att skicka in ett filter för platsmål som inkluderade de 50 länder där Facebook har den största användarbasen, vilket resulterade i en potentiell publik på 1,5 miljard användare).

Data

Data samlades in från en grupp på 2 390 äkta Facebook-användare som hade installerat författarnas FDVT-webbläsar-tillägg (se bild nedan och video i slutet av artikeln) före januari 2017, alla frivilliga. Tillägget ger användarna en realtidsuppskattning av den intäkt som deras surfning genererar för Facebook, baserat på PII och demografisk data som volontärerna samtycker till att dela med forskarna.

FDVT-webblägartillägget som tillhandahålls av forskarna ger den inloggade Facebook-användaren en ström av information om integritets- och lönsamhetsaspekter (för Facebook) för deras surfaktiviteter. Källa: https://www.youtube.com/watch?v=Gb6mwJqHhCI[/em>

Forskarna samlade in 1,5 miljoner datapunkter från 99 000 unika Facebook-intressen som var associerade med deltagarna, som hade en median på 426 registrerade intressen.

Forskarna beräknade sedan en formel för att fastställa det minsta antalet intressen som krävs för att utföra nanotargeting på en individ, och fastställde att endast 4 ‘marginella’ intressen krävs, och att en attack-sannolikhet ökar allteftersom intressena blir mer specialiserade och mindre representativa för breda intresse-trender.

För ‘slumpmässiga intressen’ – intressen som slumpmässigt dras från poolen av alla tillgängliga intressekategorier – uppskattade formeln att ’12, 18, 22 och 27 slumpmässiga intressen gör en användare unik på Facebook med en sannolikhet på 50%, 80%, 90% och 95%, respectively’.

Resultat från forskarnas modell, som beräknar antalet intressen som krävs för att individuera en användare under olika begränsningar. Källa: https://arxiv.org/pdf/2110.06636.pdf

Nanotargeting Test

Författarna skapade riktade annonskampanjer som riktade sig till sig själva med slumpmässiga uppsättningar av intressen som tilldelats av Facebook-annonsgränssnittet. Även om mer exakta resultat hade kunnat erhållas genom att ange ‘marginella’ intressen, föredrog författarna att bevisa den breda tillämpbarheten av teorin, snarare än att ‘fuska’ genom att fokusera på hyper-specifika intressen.

I nedre högra hörnet visas antalet intressen som driver annonsen inom FDVT-gränssnittet.

Med hjälp av flera kriterier, inklusive ögonblicksbilder av ‘Varför ser jag den här annonsen?’-meddelandet som visas med Facebook-annonser, fastställde författarna kriterier för framgång i termer av att målet uteslutande fick en annons baserat på deras intressen ensamma. ‘Misslyckande’ definierades av fall där annonsen visades inte bara för författaren, utan också för andra läsare.

Nio av de 21 kampanjer som kördes, med varierande antal intressen som målkriterier, lyckades ‘monotargeta’ den avsedda mottagaren av annonsen, med framgång som ökade enligt antalet intressen som identifierades (och med beaktande av att ‘slumpmässiga’ intressen användes för att erhålla dessa resultat, inte skräddarsydda och användarspecifika intressen).

Resultat från nanotargeting-experimentet för de tre bidragande författarna till artikeln, som alla fick minst två nanotargetade annonser. Flera intryck för en lyckad nanotargeting är resultatet av att annonsen visas flera gånger för målet över sidintryck, och inte en indikation på att någon annan såg annonsen.

Författarna medger att den höga kostnaden för manipulativa Facebook-annonskampanjer kan göra detta slag av attack omöjlig. Men det visar sig att kostnaden var minimal:

‘Tyvärr visar resultaten från [Facebook] Annonskampanjhanteraren att nanotargeting en användare är ganska billigt. Verkligen, den totala kostnaden för de 9 lyckade nanotargeting-kampanjerna var bara 0,12€. Förvånansvärt nog debiterade [Facebook] oss ingenting alls i tre av de lyckade nanotargeting-kampanjerna som levererade endast 1 annonsintryck till den målade användaren.

‘Därför, snarare än en avskräckande faktor, kan den extremt låga kostnaden för nanotargeting uppmuntra angripare att utnyttja denna praxis.’

Att Kringgå Facebooks ‘Skydd’

Artikeln noterar att Facebooks annons-tjänster har ‘minsta list-storlekar’ som en användare kan rikta in sig på, tekniskt sett gör det omöjligt att ladda upp en specifik individ som en annonskampanj-mål. Men författarna observerar att dessa begränsningar är lätt att kringgå.

Till exempel observerar rapporten att en VD rapporterade 2017 hur han kunde värva en potentiell anställd från ett annat företag genom att orkestrera en Facebook-kampanj som var avsedd att nå endast målet, en man. Detta innebar att tillfredsställa Facebooks minimikrav (30) genom att ladda upp en lista med 29 kvinnor och en man (målet), och sedan välja ‘Man’ som leverans-kriterium.

Artikeln hävdar att Facebooks begränsningar, även om de har uppdaterats, är ofullständigt tillämpade och inkonsekventa. Medan resultaten från en tidigare artikel tvingade det sociala medie-jätten att förbjuda konfiguration av målgrupper med färre än 20 i sin Annonskampanj-hantering, hävdar författarna att ‘Vår forskning visar att denna gräns inte tillämpas för närvarande’.

Falska Intryck

Förutom den allmänna kulturella motreaktionen från Cambridge Analytica-skandalen, som tvingade ovillig förändring från annonsjättar som Google, undergräver nanotargeting av annonser den allmänna förståelsen att annonskultur är ‘allmän’ kultur, delad, om inte av alla, så åtminstone av en bred demografisk eller geografisk grupp.

Artikelns författare pekar på ett antal fall där nanotargeting användes på ett bedrägligt sätt, inklusive den gång 2017 då den brittiska Labour-politikern Jeremy Corbyn, då ledare för regeringens oppositionsparti, beslutade att Labour skulle köra en Facebook-annonskampanj för att uppmuntra väljare att registrera sig.

Labour-partiets chefer ogillade idén, men istället för att gå in i konflikt, genomförde de en £5000-annonskampanj som var avsedd att nå endast Corbyn och hans medarbetare, samt ett urval journalister. Ingen annan såg dessa annonser.

Författarna hävdar:

‘[Nanotargeting] kan användas för att manipulera en användare att övertyga dem att köpa en produkt eller att övertyga dem att ändra sig i en viss fråga. Dessutom kan nanotargeting användas för att skapa en falsk uppfattning där användaren utsätts för en verklighet som skiljer sig från vad andra användare ser (som i fallet med Corbyn). Slutligen kan nanotargeting utnyttjas för att genomföra andra skadliga metoder, såsom utpressning.’

De avslutar:

‘Slutligen är det värt att notera att vårt arbete har bara avslöjat toppen av isberget när det gäller hur icke-PII-data kan användas för nanotargeting-ändamål. Vårt arbete förlitar sig uteslutande på användarnas intressen, men en annonsör kan använda andra tillgängliga socio-demografiska parametrar för att konfigurera målgrupper i [Facebook] Annons-hantering, såsom hemplats (land, stad, postnummer etc.), arbetsplats, college, antal barn, mobil enhet som används (iOS, Android) etc., för att snabbt minska målgruppens storlek för att nanotargeta en användare.’