Ξένες δυνάμεις εντοπίζουν στρατιώτες αγοράζοντας εμπορικά δεδομένα

Το Πεντάγωνο μόλις παραδέχτηκε επισήμως έναν εφιάλτη που οι ερευνητές ασφαλείας φωνάζουν χρόνια: ξένες δυνάμεις παρακολουθούν Αμερικανούς στρατιώτες σε επιχειρήσεις αγοράζοντας νόμιμα εμπορικά δεδομένα τοποθεσίας. Η αποκάλυψη ήρθε χθες, όταν ο γερουσιαστής Ron Wyden δημοσιοποίησε επιστολή της αμερικανικής Κεντρικής Διοίκησης (CENTCOM) με ημερομηνία 14 Απριλίου, που μιλάει για «πολλαπλές αναφορές απειλής» κατά προσωπικού στο θέατρο επιχειρήσεων (TechCrunch, Military Times). Δεν υπήρξε χακάρισμα. Δεν υπήρξε διαρροή απορρήτων. Κάποιος απλώς πέρασε από το ταμείο της διαφημιστικής βιομηχανίας.

Η ιστορία δεν αφορά κατασκόπους με μαύρα παλτά. Αφορά το πιο βαρετό κομμάτι του διαδικτύου: την αγορά της στοχευμένης διαφήμισης.

Η σιωπηλή δημοπρασία που τρέχει στο τηλέφωνό σου

Κάθε φορά που ανοίγει μια θέση διαφήμισης μέσα σε εφαρμογή (ένα παιχνίδι, μια εφαρμογή καιρού, ένα casual news feed), πυροδοτείται μια αστραπιαία δημοπρασία γνωστή ως Real-Time Bidding (RTB). Μέσα σε χιλιοστά του δευτερολέπτου, δεκάδες ή εκατοντάδες αγοραστές λαμβάνουν ένα «bid request»: έναν φάκελο που περιγράφει ποιος είσαι, πού βρίσκεσαι, τι συσκευή κρατάς. Η τεχνική προδιαγραφή της βιομηχανίας περιλαμβάνει ρητά πεδία για γεωγραφικό πλάτος και μήκος, διεύθυνση IP και τον μοναδικό αριθμό που δίνει το λειτουργικό σύστημα σε κάθε συσκευή (IDFA στο iPhone, GAID στο Android) (Unity Docs).

Το πρόβλημα είναι ότι, όπως επιβεβαιώνουν τα έγγραφα του κλάδου, ακόμα και όσοι χάνουν τη δημοπρασία κρατούν συχνά τις συντεταγμένες της συσκευής, χτίζοντας τεράστιες βάσεις δεδομένων χωρίς να προβάλουν ποτέ διαφήμιση (Unified ID 2.0). Έτσι, κάθε διαφημιστική ευκαιρία εκπέμπει την τοποθεσία σου σε δεκάδες παίκτες. Πολλοί από αυτούς είναι μεσίτες δεδομένων (data brokers) με πελάτες που δεν έχουν καμία σχέση με το marketing.

Ο μύθος της ανωνυμίας

Η βιομηχανία επιμένει ότι αυτά τα δεδομένα είναι «pseudonymous», αναγνωριστικά χωρίς όνομα. Αλλά η ταυτοποίηση δεν χρειάζεται όνομα. Σε κλασική μελέτη που δημοσιεύθηκε στο Nature, ερευνητές έδειξαν ότι τέσσερα χωροχρονικά σημεία, τέσσερις στιγμές όπου καταγράφηκε πού ήταν κάποιος, αρκούν για να ξεχωρίσουν μοναδικά το 95% των ανθρώπων σε σύνολο δεδομένων κινητικότητας (Nature Scientific Reports). Αν ξέρεις ότι ένας στρατιώτης κοιμάται σε συγκεκριμένο σπίτι στη Βόρεια Καρολίνα και τρώει σε συγκεκριμένη καντίνα στο Fort Bragg, μπορείς να τον ακολουθήσεις παντού, ακόμη και αν στο dataset φαίνεται ως ένας άψυχος κωδικός.

Από το Strava στη Συρία

Η πρώτη μεγάλη δημόσια προειδοποίηση ήρθε το 2018, όταν η εφαρμογή Strava δημοσίευσε έναν παγκόσμιο «heatmap» τρεξίματος. Σε ερημικές περιοχές του Αφγανιστάν και της Συρίας, τα φωτεινά μονοπάτια ζωγράφιζαν τις περιπολίες γύρω από μυστικές αμερικανικές και συμμαχικές βάσεις (The Guardian). Επρόκειτο για διαρροή καταναλωτικών δεδομένων: απρόσεκτη ρύθμιση ιδιωτικότητας (Strava). Το ίδιο μοτίβο επανήλθε νωρίτερα φέτος, όταν Γάλλος ναύτης ανέβασε τη ρουτίνα τρεξίματος πάνω στο αεροπλανοφόρο Charles de Gaulle (To Brief).

Στην πραγματικότητα, όμως, οι μυστικές υπηρεσίες γνώριζαν τον κίνδυνο πολύ νωρίτερα. Ήδη από το 2016, ιδιώτης εργολάβος απέδειξε στη Διοίκηση Ειδικών Επιχειρήσεων (JSOC) ότι μπορούσε, αγοράζοντας εμπορικά δεδομένα τοποθεσίας, να παρακολουθήσει συσκευές από βάσεις ειδικών δυνάμεων στις ΗΠΑ μέχρι έναν σταθμό στη Συρία (Al-Monitor, Washington Examiner). Δεν χρειάστηκε δορυφόρος. Χρειάστηκε κάρτα Visa.

Το ρυθμιστικό κενό

Η Federal Trade Commission έχει κινηθεί εκ των υστέρων εναντίον μεσιτών όπως οι Kochava, X-Mode/Outlogic και Gravy Analytics/Venntel, επειδή τα datasets τους επέτρεπαν συμπεράσματα για ευαίσθητες τοποθεσίες, περιλαμβανομένων στρατιωτικών εγκαταστάσεων (FTC X-Mode, FTC Gravy/Venntel). Ενώ το νέο Εκτελεστικό Διάταγμα 14117 προσπαθεί να μπλοκάρει τις «χώρες ανησυχίας» από το να αγοράζουν μαζικά δεδομένα (Λευκός Οίκος), δεν υπάρχει κανένας ομοσπονδιακός νόμος που να απαγορεύει τη συλλογή και μεταπώλησή τους εντός των ΗΠΑ. Και ο ίδιος ο αμερικανικός κρατικός μηχανισμός, όπως έχει τεκμηριώσει η ACLU, αγοράζει τα ίδια ακριβώς δεδομένα για να παρακάμψει την ανάγκη εντάλματος (ACLU).

Τι μένει

Το «κλείσε το GPS» δεν αρκεί. Η έκθεση παραμένει μέσω IP, σημάτων WiFi και κινητής, advertising IDs, browsers, και του bidstream που τρέχει στο παρασκήνιο εφαρμογών που ο χρήστης δεν θεωρεί καν «τοποθεσίας» (Business Insider). Πρακτικά, η μόνη ισχυρή άμυνα σε εμπόλεμη ζώνη είναι η απαγόρευση προσωπικών smartphones, μέτρο που πλήττει το ηθικό και την επικοινωνία με την οικογένεια.

Το μήνυμα ξεπερνά τους στρατιώτες. Δημοσιογράφοι, διπλωμάτες, στελέχη εταιρειών: όποιος κρατά ένα κινητό εκπέμπει το ψηφιακό μοτίβο της ζωής του, ποιον συναντά, πού κοιμάται, πότε αλλάζει τις καθημερινές του διαδρομές. Η εμπορευματοποίηση της ιδιωτικότητας ξεκίνησε ως μοντέλο εσόδων του Silicon Valley. Κατέληξε μοντέλο στοχοθεσίας ξένων υπηρεσιών πληροφοριών, και η διαφορά μεταξύ των δύο, όπως ομολογεί πλέον και το Πεντάγωνο, ήταν πάντα μια ψευδαίσθηση.