Salaiset markkinat Avast. Kuinka virustorjunta myy selaushistoriaasi

Virustentorjuntakehittäjä Avastin tytäryhtiö myi jokaisen hakusanan. Jokainen klikkaus. jokainen ostos. jokaiselta sivustolta. Hänen asiakkaistaan ​​olivat Google, Microsoft, Pepsi ja muut.

Tämä jakso tapahtui vuosi sitten. Tutkimuksen jälkeen Avast ilmoitti lopettavansa tietojen keräämisen Jumpshotille ja lopettavansa kaikki tapahtumat sen kanssa kiireellisesti. Olemme kääntäneet tämän jännittävän tarinan kokonaisuudessaan ja kutsumme sinut lukemaan ja tekemään omat johtopäätöksesi.

Miljoonien ihmisten ympäri maailmaa käyttämä Avast antivirus myy käyttäjiensä arkaluonteisia tietoja suurille yrityksille, Motherboardin ja PCMagin yhteinen tutkimus havaitsi. Vuotaneet sisäiset asiakirjat osoittavat kaupankäynnin erittäin arkaluontoisilla tiedoilla, mukaan lukien käyttäjien selainhistoria.

Jumpshot -nimisen Avast – tytäryrityksen asiakirjat valaisevat käyttäjien selainhistorian salaisia ​​kauppa- ja toimitusketjuja. Ne osoittavat, että Avastin asentamisen jälkeen hän alkaa kerätä tietoja ja siirtää ne Jumpshotiin, minkä jälkeen ne myydään monille globaaleille yrityksille, kuten Google, Yelp, Microsoft, McKinsey, Pepsi, Home Depot, Condé Nast, Intuit ja muut.. Jotkut näistä yrityksistä maksavat miljoonia dollareita saadakseen tietoja jokaisesta tekemästäsi napsautuksesta, minkä ansiosta ne voivat analysoida verkkokäyttäytymistäsi.

Avastin käyttäjäkunta on noin 435 miljoonaa käyttäjää ja 100 miljoonaa laitetta. He kaikki allekirjoittivat käyttäjäsopimuksen tietojen keräämisestä, mutta osa käyttäjistä kertoi Motherboardille ja PCMagille, etteivät he tienneet, mitä tietoja kerättiin tai että niitä kerättiin ollenkaan. Herää kysymys, kuinka hyvin perillä käyttäjät olivat?

Millaisista tiedoista puhumme? Tietoja Google – hauista, verkkosivujen navigoinnista, Google Mapsin GPS – koordinaateista, vierailuista LinkedInissä, YouTubessa ja pornosivustoilla. Vaikka nämä tiedot eivät sisällä nimiä, käyttäjät on helppo tunnistaa niiden perusteella.

Jumpshot väitti heinäkuussa, että se julkisti tiedot antaakseen markkinoijille syvemmän ymmärryksen verkkomarkkinoista. Jumpshot on aiemmin listannut julkisesti joitain asiakkaistaan ​​Expedia, IBM, Intuit, TurboTax, Loreal ja Home Depot. Työntekijöitä kehotettiin olemaan puhumatta julkisesti Jumpshotin suhteesta näihin yrityksiin.

Viime aikoihin asti Avast keräsi tietoja selainlaajennuksella, joka luotiin rajoittamaan pääsyä haitallisille verkkosivustoille. Kyberturvallisuuden tutkija ja AdBlock Plusin luoja Vladimir Palant julkaisi aiheesta blogikirjoituksen . Hieman myöhemmin Mozilla, Opera ja Google Chrome poistivat tämän laajennuksen selaimistaan. Avast selitti aiemmin tätä tiedonkeruuta ja jakamista blogissa ja foorumissa vuonna 2015. Siitä lähtien Avast on luvannut lopettaa näiden laajennusten keräämien selaustietojen lähettämisen Jumpshotille, Avast sanoi lausunnossaan emolevylle ja PCMagille.

Tiedonkeruu kuitenkin jatkui. Jos Avast teki tämän aiemmin selainlaajennuksen kautta, nyt se on alkanut tehdä sen virustorjuntansa kautta

Emolevy ja PCMag ottivat yhteyttä yli kahteen tusinaan sisäisissä asiakirjoissa mainittuun yritykseen. Harvat vastasivat kysymyksiin siitä, mitä he tekevät Avast-käyttäjien hakuhistoriaan perustuvilla tiedoilla.

"Joskus käytämme kolmansien osapuolien tietoja parantaaksemme liiketoimintaamme, tuotteitamme ja palveluitamme. Edellytämme, että näillä palveluntarjoajilla on asianmukaiset oikeudet jakaa nämä tiedot kanssamme. Tässä tapauksessa saamme anonyymejä käyttäjätietoja, joita ei voida käyttää yksittäisten asiakkaiden tunnistamiseen, Home Depotin tiedottaja kirjoitti sähköpostilla.

Microsoft kieltäytyi kommentoimasta yksityiskohtia, miksi se osti tietoja Jumpshotilta, mutta sanoi, että sillä ei tällä hetkellä ole yhteyttä yritykseen. Southwest Airlines kertoi keskustelleensa mahdollisuudesta työskennellä Jumpshotin kanssa, mutta yhtiöt eivät päässeet sopimukseen. IBM sanoi, että se ei ollut asiakas, ja Altria sanoi, että se ei myöskään toiminut Jumpshotin kanssa, vaikka se ei täsmentänyt, oliko se aiemmin toiminut. Sephora on ilmoittanut, että se ei toimi Jumpshotin kanssa. Google ei koskaan vastannut pyyntöön.

Jumpshot nimeää verkkosivuillaan ja lehdistötiedotteissa asiakkaikseen Pepsin ja konsulttijättiläiset Bain & Companyn ja McKinseyn. Siinä on myös joitain esimerkkejä web-selaushistoriatietojen käytöstä. Esimerkiksi kustantaja ja digitaalisen median jättiläinen Condé Nast käytti Jumpshotin tuotteita nähdäkseen, lisäsikö yrityksen mainonta myyntiä Amazonissa ja muualla.

Kaikki Napsauta Syöte

Siinä ei vielä kaikki, oli toinen Jumpshot-tuote nimeltä All Click Feed. Sen avulla voit ostaa tietoja kaikista napsautuksista, jotka Jumpshot rekisteröi tietylle verkkotunnukselle, kuten Amazon.com, Walmart.com, Target.com, BestBuy.com tai Ebay.com.

Pikakuvaustiedot voivat osoittaa, kuinka joku, jolla oli tietokoneelleen asennettu Avast, haki Googlesta tuotetta, napsautti Amazon -linkkiä ja mahdollisesti lisäsi tuotteen ostoskoriinsa jollain toisella verkkosivustolla ennen oston tekemistä.

Jumpshot-sopimuksen kopion mukaan yksi All Clicks Feedin ostaneista yrityksistä on New Yorkissa toimiva markkinointiyhtiö Omnicom Media Group . Jumpshot antoi Omnicomille pääsyn kaikkiin käyttäjien napsautuksiin 14 eri maassa, mukaan lukien Yhdysvallat, Englanti, Kanada, Australia ja Uusi-Seelanti. Tietoihin sisältyi myös käyttäjien arvioitu sukupuoli, arvioitu ikä ja "täydellinen URL-merkkijono", mutta henkilötiedot poistettiin, sopimuksessa sanotaan.

Omnicomin kanssa tehdyn sopimuksen mukaan jokaisen käyttäjän "laitetunnus" on hajautettu, eli tiedot ostavan yrityksen ei tarvitse pystyä tunnistamaan, kuka tarkalleen on kunkin näkymän takana. Sen sijaan Jumpshot-tuotteiden pitäisi auttaa yrityksiä selvittämään, mitkä tuotteet ovat erityisen suosittuja tai kuinka tehokas heidän mainoskampanjansa on.

Mutta Jumpshot-tiedot eivät välttämättä ole täysin anonyymejä. Sisäisessä tuoteoppaassa todetaan, että laitetunnukset eivät muutu käyttäjää kohden, ellei käyttäjä poista suojausohjelmistoa kokonaan ja asenna se uudelleen. Lukuisat artikkelit ja akateemiset tutkimukset ovat osoittaneet, kuinka henkilön henkilöllisyys voidaan tunnistaa oletettavasti anonyymien tietojen avulla. Tämän vahvistivat New York Timesin toimittajat vuonna 2006 ja Stanfordin yliopiston tutkijat vuonna 2017.

Deanonymisoinnista tulee paljon suurempi ongelma, kun ottaa huomioon, että Jumpshot-datan loppukäyttäjät voivat yhdistää sen omiin tietoihinsa.

"Suurin osa deanonymisoinnin aiheuttamista uhista johtuu kyvystä yhdistää tietoa muihin tietoihin."

Millisekuntitarkka aikaleima voisi mahdollistaa yrityksen, jolla on oma asiakastietokanta, nähdä yhden käyttäjän vierailevan omalla sivustollaan ja seurata häntä sitten muiden sivustojen kautta Jumpshotin avulla.

"On lähes mahdotonta depersonalisoida tietoja", sanoi Santa Claran yliopiston oikeustieteellisen korkeakoulun professori Eric Goldman.

Motherboardin ja PCMagin toimittajat esittivät Avastille sarjan yksityiskohtaisia ​​kysymyksiä siitä, kuinka se suojaa käyttäjien nimettömyyttä, sekä yksityiskohtia joistakin yrityksen sopimuksista. Avast ei vastannut useimpiin kysymyksiin, mutta kirjoitti lausunnossaan: "Lähestymistapamme avulla varmistamme, että Jumpshot ei saa mitään tunnistetietoja, mukaan lukien nimi, sähköpostiosoite tai yhteystiedot, ihmisiltä, ​​jotka käyttävät suosittua ilmaista virustorjuntaohjelmistoamme."

"Meillä on laaja kokemus käyttäjien laitteiden ja tietojen suojaamisesta haittaohjelmilta, ja ymmärrämme ja otamme vakavasti vastuun tasapainottaa käyttäjien yksityisyys ja tarvittava tietojen käyttö", lausunnossa todetaan.

Yhtiö ilmoitti myös noudattavansa Kalifornian kuluttajatietosuojalakia (CCPA) ja Euroopan tietosuoja-asetusta (GDPR) koko käyttäjäkuntansa osalta.

Kun PCMag-editori asensi ensimmäisen kerran Avast-virustorjuntatuotteen, ohjelma itse asiassa kysyi, halusivatko he osallistua tiedonkeruuun.

"Jos annat luvan, myönnämme tytäryhtiöllemme Jumpshot Inc. selaushistoriastasi saatujen tunnistamattomien tietojen kerääminen, jotta Jumpshot voisi analysoida markkinoita ja liiketoimintatrendejä ja kerätä muuta arvokasta tietoa”, ponnahdusikkuna ei kuitenkaan kertonut mitään siitä, kuinka Jumpshot sitten käyttää näitä tietoja.

UPD: Virallinen vastaus Avastilta

"Avast sulki Jumpshotin tammikuussa 2020 ja lopetti näin tiedonsiirrot. Tavoitteemme on tehdä Internetistä turvallisempi ja suojata ihmisten henkilökohtaisia ​​tietoja. Vuonna 2020 ryhdyimme toimenpiteisiin tietosuojan parantamiseksi palkkaamalla Chief Privacy Officerin, joka jatkaa tietosuojastrategiaamme ja jakaa kokemuksia organisaatioiden, kuten TOR:n ja Future of Privacy Forumin, kanssa. Tietosuojakäytäntömme on TRUSTe sertifioinut. Jatkamme toimenpiteitä käyttäjien yksityisyyden takaamiseksi."

Vicen ja PCMagin luvalla Kansikuva :
Monika Kovacs