Facebook: ‘Нанотаргетинг’ користувачів лише на основі їхніх сприйнятих інтересів

Дослідники розробили метод доставки рекламної кампанії Facebook лише одному користувачеві з 1,5 мільярда, заснований лише на інтересах користувача, і не на особисто ідентифікуючій інформації (PII), такій як адреси електронної пошти, номери телефонів або географічне розташування, зазвичай пов’язані з скандалами щодо таргетингу в останні роки.

Користувачі мають обмежений контроль над цими інтересами, які алгоритмічно визначаються на основі звичок перегляду, “лайків” та інших форм взаємодії, які Facebook може ідентифікувати, і які включаються до критеріїв для показу рекламного оголошення Facebook.

Оскільки інтереси пов’язані з користувачами Facebook на основі вмісту, який вони публікують і взаємодіють з ним, користувачів можна індивідуально націлювати без явного зазначення своїх інтересів у будь-якому з вмісту, який вони публікують, і в протилежність майже всім поточним заходам, які вони можуть вжити для захисту себе від гіперспецифічного таргетингу оголошень.

Дослідження також свідчить, що “нанотаргетинг” користувачів таким чином не тільки дешевий, але іноді безкоштовний, оскільки Facebook часто не стягує плату з рекламодавця за кампанію, яка не була показана (тобто кампанію, яка досягла лише однієї людини).

У 2018 році дослідження AdNews встановило, що в середньому Facebook алгоритмічно присвоює 357 інтересів на користувача, з яких 134 були оцінені як “точні”.

Високі ставки інтересів

Автори нової статті перевірили свої припущення на собі, створивши рекламну кампанію Facebook, призначену для “нанотаргетингу” авторів з потенційної аудиторії 1,5 мільярда користувачів Facebook, на основі випадкової масиву цільових інтересів; оголошення були успішно і виключно показані цільовим користувачам, де більша кількість випадково обраних інтересів була визнана (див. таблицю результатів наприкінці статті).

Дослідники оцінюють, що індивідуума можна ідентифікувати і націлювати, заснований лише на їхніх інтересах, з точністю 90%, хоча кількість інтересів, необхідних для цього, залежить від того, наскільки поширені ці інтереси:

‘Наші результати свідчать, що 4 рідкісні інтереси користувача роблять його унікальним у згаданій базі користувачів з імовірністю 90%. Якщо ми розглянемо випадковий вибір інтересів, то 22 інтереси будуть необхідні, щоб зробити користувача унікальним з імовірністю 90%.’

Автори стверджують, що цей підхід до таргетингу окремих користувачів є лише “верхівкою айсберга” щодо використання не-PII даних для скасування недавніх зусиль і ініціатив зі захисту конфіденційності користувачів після скандалу з Cambridge Analytica.

Стаття стаття, озаглавлена Унікальний на Facebook: Формулювання та докази (нано)таргетингу окремих користувачів з не-PII даних, є спільною роботою трьох дослідників з Universidad Carlos de III у Мадриді, разом з науковцем-даним з GTD System & Software Engineering і професором Австрійського технічного університету Граца.

Методологія

Дослідження було проведено на наборі даних, зібраному в січні 2017 року. Наступного року Facebook збільшив мінімальну Потенційну аудиторію розміру аудиторії для рекламної кампанії з 20 до 1000, але дослідники відзначають, що це не зупиняє рекламодавців від націлювання на групи менше 1000, але лише від знання фактичного розміру цільової аудиторії, отриманої.

Дослідники також відзначають, що попередня робота демонструє, що обмеження у 1000 користувачів можна ефективно знизити до 100, і що 100 користувачів є найменшим цільовим групою, доступною для тих, хто бажає повторити роботу.

Однак, оскільки набір даних був складений, Facebook додав ‘Уесь світ’ як потенційну територію для кампанії, що означає, що дослідники довели свою гіпотезу під додатковими обмеженнями, які більше не існують (вони мали замість цього подати фільтровану територію з 50 країн, де Facebook має найбільшу присутність користувачів, що призвело до потенційної аудиторії 1,5 мільярда користувачів).

Дані

Дані були отримані з набору з 2 390 справжніх користувачів Facebook, які встановили розширення браузера FDVT авторів до січня 2017 року, всі добровільці. Розширення забезпечує користувачів реальною оцінкою доходу, який їхній перегляд генерує для Facebook, на основі PII і демографічних даних, які добровільці погодилися поділитися з дослідниками.

Розширення браузера FDVT, надане дослідниками, забезпечує користувача Facebook потоком інформації про аспекти конфіденційності та прибутковості (для Facebook) діяльності користувача. Джерело: https://www.youtube.com/watch?v=Gb6mwJqHhCI

Дослідники отримали 1,5 мільйона даних з 99 000 унікальних інтересів Facebook, пов’язаних з учасниками, які мали медіану з 426 зареєстрованих інтересів.

Дослідники потім розрахували формулу для визначення мінімальної кількості інтересів, необхідних для виконання нанотаргетингу на індивідуума, встановивши, що лише 4 “маргінальні” інтереси необхідні, і що ймовірність атаки збільшується, коли інтереси стають більш спеціалізованими і менш репрезентативними для широких тенденцій інтересів.

Для “випадкових інтересів” – інтересів, вибраних довільно з пулу всіх доступних категорій інтересів – формула оцінила, що ’12, 18, 22 і 27 випадкових інтересів роблять користувача унікальним на Facebook з імовірністю 50%, 80%, 90% і 95%, відповідно’.

Результати моделі дослідників, розрахованої кількості інтересів, необхідних для індивідуалізації користувача під різними обмеженнями. Джерело: https://arxiv.org/pdf/2110.06636.pdf

Тест нанотаргетингу

Автори створили цільові рекламні кампанії, спрямовані на себе, використовуючи випадкові набори інтересів, призначених інтерфейсом рекламних оголошень Facebook. Хоча більш точні результати могли бути отримані шляхом встановлення “маргінальних” інтересів, автори віддали перевагу доведенню широкої застосовності теорії, а не “обману” шляхом націлювання на гіперспецифічні інтереси.

У нижньому правому куті кількість інтересів, що забезпечують оголошення, відображається в інтерфейсі FDVT.

Використовуючи кілька критеріїв, включаючи знімки повідомлення “Чому мені показують це оголошення?” разом з рекламними оголошеннями Facebook, автори встановили критерії успіху щодо показу оголошення виключно цільовому користувачеві на основі їхніх інтересів лише. “Невдача” була визначена випадками, коли оголошення було показано не лише автору, але й іншим читачам.

Дев’ять із 21 кампанії, проведеної з різними кількостями інтересів як цільових критеріїв, успішно “монотаргетували” призначеного одержувача оголошення, з підвищенням успіху згідно з кількістю ідентифікованих інтересів (і пам’ятайте, що “випадкові” інтереси були використані для отримання цих результатів, а не створені і спеціфічні для користувача інтереси).

Результати експерименту з нанотаргетингом для трьох співавторів статті, всі з яких виключно отримали щонайменше два нанотаргетовані оголошення. Багаторазові враження для успішного нанотаргетингу є результатом показу оголошення кілька разів цільовому користувачеві протягом сторінок, і не є ознакою того, що хтось інший побачив оголошення.

Автори визнають, що висока вартість маніпулятивних рекламних кампаній Facebook може зробити такий тип атаки недоцільним. Однак виявляється, що вартість була мінімальною:

‘На жаль, результати, витягнуті з [Facebook] Ad Campaign Manager, [доводять], що нанотаргетинг користувача досить дешевий. Насправді, загальна вартість 9 успішних кампаній нанотаргетингу становила лише 0,12€. Дивно, що [Facebook] не стягував з нас жодної плати в трьох успішних кампаніях нанотаргетингу, які доставили лише 1 показ оголошення цільовому користувачеві.

‘Отже, замість того, щоб бути перешкодою, надзвичайно низька вартість нанотаргетингу може заохотити нападників до використання цієї практики.’

Обхід захисту Facebook

Стаття відзначає, що сервіси рекламних оголошень Facebook мають “мінімальні розміри списків”, які користувач може націлювати, технічно роблячи неможливим завантаження конкретної особи як цільової рекламної кампанії. Однак автори спостерігають, що ці обмеження легко обходяться.

Наприклад, звіт відзначає, що генеральний директор звітав у 2017 році, як він зміг переманити потенційного працівника з іншої компанії, організувавши кампанію Facebook, призначену лише для досягнення цієї цільової особи, чоловіка. Це включало задоволення мінімальних (30) критеріїв Facebook шляхом завантаження списку з 29 жінок і одного чоловіка (цілі), а потім вибору “Чоловік” як критерію доставки.

Стаття стверджує, що обмеження Facebook, хоча й оновлені, є недосконалими та несумісними. Хоча результати попередньої статті змусили соціальну мережу заборонити налаштування аудиторії менше 20 у своєму Ads Campaign Manager, автори заперечують ефективність зміни політики, заявляючи, що ‘Наше дослідження показує, що це обмеження зараз не застосовується’.

Хибні враження

Поза загальним культурним відбоєм від скандалу з Cambridge Analytica, який викликав неохоче зміни з боку рекламних гігантів, таких як Google, нанотаргетинг оголошень підважує загальне розуміння того, що рекламна культура є “загальною” культурою, спільною, якщо не всіма, то хоча б широкою демографічною або географічною групою.

Автори статті відзначають ряд випадків, коли нанотаргетинг був використаний у обманному порядку, включаючи випадок у 2017 році, коли британський політик Лейбористської партії Джеремі Корбін, тоді лідер уряду, вирішив провести кампанію Facebook з метою заохочення реєстрації виборців.

Лідери Лейбористської партії не схвалили цю ідею, але замість конфлікту просто реалізували кампанію вартістю 5000 фунтів, призначену лише для націлювання на Корбіна та його асоціатів, а також вибрану кількість симпатизуючих журналістів. Ніхто інший не бачив цих оголошень.

Автори заявляють:

‘[Нанотаргетинг] можна ефективно використовувати для маніпулювання користувачем, щоб переконати його купити продукт або змінити свою думку щодо певної проблеми. Крім того, нанотаргетинг можна використовувати для створення фальшивого сприйняття, при якому користувач піддається реальності, яка відрізняється від того, що бачать інші користувачі (як сталося у випадку з Корбіном). Нарешті, нанотаргетинг можна використовувати для реалізації інших шкідливих практик, таких як шантаж.’

Вони висновують:

‘Нарешті, варто зазначити, що наша робота викрила лише верхівку айсберга щодо того, як не-PII дані можна використовувати для цілей нанотаргетингу. Наша робота виключно спирається на інтереси користувачів, але рекламодавець може використовувати інші доступні соціально-демографічні параметри для налаштування аудиторії в [Facebook] Ads Manager, такі як місце проживання (країна, місто, поштовий індекс тощо), місце роботи, коледж, кількість дітей, мобільний пристрій (iOS, Android) тощо, щоб швидко звузити розмір аудиторії до нанотаргетингу користувача.’