C'è una funzione di Facebook che rischia di creare un'altra Cambridge Analytica

14 Oct, 2020 - Fonte: https://www.wired.it/internet/regole/2020/10/14/cambridge-analytica-facebook-lead-ads/

Tempo fa è “scoppiato” il bubbone di Cambridge Analytica, rea di (vedi:  https://www.i-forensics.it/i-forensics-news/234-autorizzazioni-sicurezza-il-caso-cambridge-analytica ) aver collezionato dati di tantissimi utenti da Facebook grazie a diversi strumenti tra cui i famigerati quiz. Di qui il mio ragionamento che vede nei Lead Ads un’arma ancora più affilata in mano a un’eventuale Cambridge Analytica atto secondo, vediamo perché.

Perché c’è un rischio Cambridge Analytica II

In seguito a diversi test che ho portato avanti nel tempo, e secondo la policy di Facebook, un’applicazione, quale il classico quiz “che verdura sei” può operare su Facebook in due modi. Il primo è richiedere all’utente, tramite una semplicissima richiesta di accesso tramite credenziali Facebook (comunemente detto Facebook Connect), di comunicare all’applicazione (e a chi c’è dietro) nome e cognome, email, foto profilo, link al profilo. Senza bisogno di alcun check a priori da parte di Facebook. Il secondo è richiedere all’utente un set di dati più ampio, come genere, città e quant’altro. A questo punto è necessaria una review da parte di Facebook, a priori.

Ora vediamo come i Lead Ads di Facebook, se usati in un certo modo, possono essere una fonte ancor più accurata di dati, anche se paradossalmente all’utente viene chiesto solamente di confermare nome ed email, in altrettanti campi pre-popolati dei suddetti dati da Facebook stesso.

Come detto, accedendo a un’app che si muove sulla piattaforma Facebook, l’utente avrà sotto gli occhi e dovrà fornire il consenso nel trasferimento di alcuni dati per utilizzarla. In sintesi, per sapere “che verdura sei” devi trasferire un set di dati, dal tuo profilo, al database dell’applicazione.I dati sono in gran parte, sotto gli occhi dell’utente, che fornisce il suo consenso, più o meno informato.

Definiamoli “a posteriori” per ora, capiremo il perché di questa definizione analizzando come possono essere usati i Lead Ads per profilare ancor più efficacemente gli utenti che interagiscono con l’inserzione, a priori.

Il ruolo della pubblicità

Primo assunto fondamentale, si tratta di advertising, quindi chi crea questo tipo di inserzione può utilizzare tutte le funzionalità di targeting presenti in Facebook, che possono scendere in un dettaglio estremo rispetto a demografiche, interessi e comportamenti (fuori e dentro Facebook) degli utenti nostro target.

Addirittura possiamo partire da un set di dati, quali una lista di email (elettori? iscritti a un partito? candidati avversari? iscritti ad un’associazione?) e costruire da questa un’audience quanto più possibile simile in termini di demografiche, interessi e comportamenti (si chiama audience lookalike, ma è uno step ulteriore, su cui torneremo in seguito).

Senza addentrarci troppo nel tecnico, è bene sapere che possiamo scendere in un dettaglio molto preciso andando ad utilizzare le funzionalità di targeting di Facebook, e qui c’è il nodo dei cosiddetti dati “a priori”.

La questione dei dati a priori

Una volta creati i nostri target, secondo i dati di cui sopra, potremo andare online sulla piattaforma con uno o un set di diversi Lead Ads, ipertargetizzati. Per un dettaglio superficiale ma efficace di quali siano le opzioni di targetizzazione di Facebook, vi rimando alle pagine ufficiali. L’utente vedrà apparire il nostro Lead Ad, e se avremo lavorato bene, entrerà e confermerà i dati che Facebook ha già reso disponibili per un eventuale modifica o conferma. Un semplice click, o tap se si è da mobile, e il gioco è fatto.

Mario Rossi, che vive stabilmente in determinate coordinate geografiche + raggio N km, sostenitore di una determinata area politica, interessato a retail banking, nautica e baseball, tornato da un viaggio una settimana fa, che sta per festeggiare l’anniversario di matrimonio, ha in mano un iPhone SE, che nel corso della settimana ha cliccato su una call to action “Acquista Ora” su un’inserzione, sposato, con figli, amministratore di pagine su Facebook, viaggiatore internazionale frequente, e quant’altro, confermerà tutto questo, più l’unico dato mancante nel mosaico: la sua email.

Senza che il nostro Mario abbia la più pallida idea, perché non esplicitato in nessun modo accessibile comunemente, di come sia finito su quell’inserzione pubblicitaria, e soprattutto che il suo “Ok ti do (solo) la mia email, poco male” significhi implicitamente, confermare all’inserzionista quanto descritto poco sopra, in questa sommaria descrizione dei dati che possiamo impiegare per collezionare il suo contatto e chiudere il cerchio.

E ancora, dopo 100, 1.000 o 10.000 Mario, profilati ai massimi livelli, potremo andare in cerca dei successivi 10.000 su altri network come LinkedIn, Twitter o Google, tramite le funzioni relative alle Audience Lookalike, oppure utilizzare direttamente il file dei contatti generati per targetizzare nuovamente i nostri Mario con messaggi di diversa natura.

Un’ipotesi: colleziono i tuoi dati con un trigger o una promessa X prettamente commerciale, avendoti profilato come un target ben preciso, poi una volta ottenuti i tuoi contatti, torno a mostrarti inserzioni pubblicitarie a sfondo politico (seguendo le regole che conosciamo in merito su Facebook). Dal punto di vista dell’utente, un conto è avere una schermata che (molto in piccolo) mostra i dati che io sto consegnando all’applicazione di turno, ne sono cosciente, accetto, manifesto un consenso informato. Un altro conto è trovarsi di fronte un’inserzione pubblicitaria che di per sé appare perché un set di dati molto più ampio di quelli che volontariamente trasmetterei a un’applicazione, sono stati impiegati per raggiungermi, e che io sono chiamato a confermare credendo di trasferire solo nome ed indirizzo email. Magari un’indirizzo email che uso solamente sui social, il che mi rende raggiungibile cross-piattaforma tramite re-targeting.

Questione di privacy

So che all’interno dell’interfaccia dei Lead Ads è presente un link che riporta alla privacy policy, ma di certo non è presente alcun cenno alla quantità e qualità di dati che a priori hanno reso possibile la targetizzazione.

I dati “a posteriori” che io consegno a un’app, sono in qualche modo esplicitati durante il processo, quelli “a priori” con cui io targetizzo l’advertising con cui raggiungere i miei Mario Rossi, non sono esplicitati all’interno dell’inserzione, ma sono sommariamente riportati, in modo molto sintetico, seguendo un procedimento che il più degli iscritti a Facebook non sa fare.

Andando ad analizzare la policy (Condizioni delle inserzioni per acquisizione contatti) che ogni inserzionista dovrà accettare per poter utilizzare le unità pubblicitarie Lead Ads, scopriamo che l’inserzionista dovrà garantire che tutte le Inserzioni per acquisizione contatti forniscano le seguenti informazioni agli utenti di Facebook:

(i) tutte le informazioni necessarie e sufficienti ad adempiere alle leggi, alle normative e ai regolamenti applicabili, comprese eventuali condizioni delle offerte promosse nell’Inserzione per acquisizione contatti (ad es. criteri di idoneità, data di scadenza o limitazioni relative all’utilizzo) (“Condizioni delle offerte”);

(ii) una dichiarazione ben visibile e facilmente accessibile in cui viene comunicato che, se un utente invia dati tramite le Inserzioni per acquisizione contatti, tali dati saranno regolati dalla normativa sulla privacy dell’inserzionista;

(iii) un link alla normativa sulla privacy dell’inserzionista.

Nessun cenno alla presenza, ingombrante, di dati di targetizzazione molto precisi “a priori”, di cui l’inserzionista si serve per raggiungere l’utente e che implicitamente, il trasferimento di email e nome da parte di quest’ultimo, tende a confermare e completare. L’ultima modifica a tale policy, risale al 4 febbraio 2016.

Potremmo dedurre che si tratti di elucubrazioni non attuabili, ma ricordiamoci pure il recente passato, in cui entità quali Cambridge Analytica hanno approfittato di zone grigie non del tutto vigilate e presidiate da Facebook, mentre qui parliamo di funzionalità ufficiali della piattaforma accessibili a chiunque ed il cui utilizzo è illustrato, nei dettagli, online.