Anunciantes compartilhando seus dados com… agências de inteligência

A escala industrial da vigilância de usuários da Internet é um tópico recorrente. Cada clique em um site, cada rolagem em um aplicativo móvel e cada palavra que você digita em uma barra de pesquisa são rastreados por dezenas de empresas de tecnologia e de publicidade. E isso afeta não apenas telefones e computadores, mas também smart watches, TVs e alto-falantes smart e até mesmo carros. Acontece que essas informações são usadas não apenas por anunciantes que oferecem aspiradores de pó ou seguros de viagem. Usando várias empresas intermediárias, esses dados são adquiridos por agências de segurança de todos os tipos: polícia, inteligência, entre outras. Veja aqui a investigação mais recente sobre tais práticas, com foco na plataforma Patternz e na empresa de “publicidade” Nuviad. Antes, investigações semelhantes analisaram as empresas Rayzone, Near Intelligence e outras. Essas empresas, suas jurisdições de constituição e suas listas de clientes variam, mas a fórmula geral é sempre a mesma: coletar e salvar informações proprietárias geradas pela publicidade e, depois, revendê-las para agências de aplicação da lei em todo o mundo.

Nos bastidores da publicidade contextual

Já descrevemos em detalhes como os dados são coletados em páginas da Web e em aplicativos, mas não como eles são colocados em uso. Em termos bastante simplificados, por trás de cada banner ou link de publicidade no atual mundo on-line, há algumas negociações extremamente rápidas e supercomplexas. Os anunciantes carregam seus anúncios e requisitos de público-alvo em uma plataforma de demanda (DSP), que encontra sites ou aplicativos adequados para exibir tal publicidade. A DSP, então, participa de um leilão para os tipos de publicidade (banner, vídeo e assim por diante) a serem exibidos nesses sites e aplicativos. Dependendo de quem visualiza os anúncios e até que ponto eles atendem aos requisitos do anunciante, um tipo específico de anúncio pode vencer o leilão. Esse processo é conhecido como licitação em tempo real (RTB). Durante a licitação, os participantes recebem informações sobre o potencial consumidor do anúncio: os dados coletados anteriormente sobre o indivíduo são condensados em um breve cartão de descrição. Dependendo da plataforma, a composição desses dados pode variar, mas um conjunto bastante típico seria a localização aproximada ou precisa do consumidor, o dispositivo em uso, a versão do SO, bem como ” atributos demográficos e psicográficos”, ou seja, sexo, idade, membros da família, hobbies e outros tópicos de interesse do usuário.

Como os dados de RTB são usados para vigilância

Uma investigação da 404 Media descobriu que a plataforma Patternz anunciou aos clientes que processava 90 terabytes de dados diariamente, abrangendo as ações de cerca de cinco bilhões de IDs de usuário. Observe que há muito menos usuários reais do que IDs, pois cada pessoa pode ter vários IDs. Como a publicidade é global, o escopo da coleta de dados também é.

A coleta e a análise dos dados acima permite o rastreamento preciso de:

• movimentos de consumidores potenciais
• momentos em que eles saem ou visitam determinados lugares
• momentos em que eles estão localizados perto de certas pessoas
• seus interesses e consultas de pesquisa
• histórico de mudança de interesses
• afiliação a determinados segmentos, por exemplo, “teve um bebê recentemente” ou “acabou de sair de férias”

Essas informações permitem descobrir muitas coisas curiosas: onde a pessoa está durante o dia e à noite, com quem ela gosta de passar o tempo, com quem viaja de carro e para onde, além de muitas outras informações pessoais. Conforme declarado pelo Gabinete do Diretor de Inteligência Nacional dos Estados Unidos (U.S. Office of the Director of National Intelligence, ODNI), essa profundidade de coleta de dados só era possível anteriormente por meio de vigilância física ou escuta telefônica direcionada.

Essa coleta de dados é legal? Embora as leis variem muito de país para país, na maioria dos casos, as agências de inteligência que realizam a vigilância em massa, (especialmente com o uso de dados comerciais) encontram-se em uma área cinzenta.

Bônus: vigilância por meio de notificações push

Há outro método não relacionado, mas não menos desagradável, de vigilância centralizada de usuários. Nesse caso, o tesouro está nas mãos da Apple e do Google, que enviam notificações push centralizadas para todos os dispositivos iOS e Android, respectivamente. Para economizar energia em smartphones, quase todas as notificações de aplicativos são entregues por intermédio dos servidores da Apple ou do Google; e, dependendo da arquitetura do aplicativo, uma notificação pode conter informações fáceis de visualizar e de interesse de terceiros. Acontece que algumas agências de inteligência tentaram obter acesso aos dados de notificação. Além disso, um estudo recente descobriu que um número significativo de aplicativos abusa das notificações para coletar dados sobre o dispositivo (e o usuário) no momento em que a notificação é recebida, mesmo que o usuário não esteja usando o aplicativo em questão ou mesmo o telefone no momento.

Como se proteger contra a vigilância por meio da publicidade

Como todas as empresas mencionadas acima coletam dados usando hubs centrais na forma de grandes trocas de anúncios, não há aplicativos ou sites de bloqueio que protegerão você contra rastreamentos. Qualquer anúncio em banner, inserção de vídeo ou publicidade em rede social gera eventos para rastreadores.

A única maneira de alcançar qualquer redução significativa na escala da vigilância é com medidas antipublicidade bastante radicais. Nem todas são convenientes ou adequadas para todos, mas quanto mais dicas da lista você puder aplicar, menos “eventos” envolvendo você acabarão nos servidores da Rayzone ou de outras empresas semelhantes. Em resumo:

• Use aplicativos que não exibem anúncios. Isso não garante a ausência de web beacons e rastreamento, mas pelo menos reduzirá a intensidade.
• Bloqueie anúncios e rastreamento em navegadores da Web. O Mozilla Firefox e o Safari têm proteção antivigilância integrada, enquanto os complementos antispyware e antipublicidade estão disponíveis para todos os navegadores populares nas lojas oficiais de complementos.
• Para proteção máxima, ative a Navegação Privada no Kaspersky Standard, Kaspersky Plus ou Kaspersky Premium.
• Desative o download automático de imagens em e-mails.
• Configure o DNS seguro em seu smartphone, computador e roteador doméstico especificando um servidor de bloqueio de anúncios, por exemplo, BlahDNS.
• Verifique as configurações de privacidade do smartphone. Crie o hábito de redefinir seu ID de publicidade pelo menos uma vez por mês. Impeça que aplicativos coletem dados para anúncios personalizados e exibam anúncios baseados em localização (Apple, Google);
• Revogue as permissões para acessar a localização e outros dados confidenciais de todos os aplicativos que não exigem isso para sua função principal.
• Desative completamente as notificações push nas configurações do smartphone para todos os aplicativos que podem ficar sem elas.