Podle zprávy investigativní skupiny ProPublica a společnosti Adalytics, zabývající se analýzou digitální reklamy, umožnila společnost Google ruské reklamní firmě RuTarget ještě několik měsíců po začátku ruské agrese na Ukrajině shromažďovat údaje o uživatelích Googlu. Ruská společnost tak mohla získat přístup k IP adresám, ID mobilních telefonů, ale i informace o poloze uživatelů a další citlivá data. Toto selhání ze strany Google ilustruje, jak spletené mohou být cesty digitální reklamy. 

Příjem dat navzdory sankcím

Majitelem RuTargetu je největší ruská státní banka Sberbank, známá svým napojením na prezidenta Vladimira Putina. Na obě firmy, tedy RuTarget a Sberbank, uvalily Spojené státy 6. dubna blokační sankce. Ty zakazují americkým fyzickým i právnickým osobám se Sberbank a RuTargetem jakkoli obchodovat.

Jenže podle výzkumu společnosti Adalytics sdílel Google citlivé informace s ruskými společnostmi až do 23. června. RuTarget tak získal přístup k údajům o lidech, kteří si prohlíželi webové stránky a aplikace na Ukrajině i v dalších částech světa.

Takové údaje mohly zneužít ruské vojenské a zpravodajské služby k tomu, aby sledovaly uživatele na ukrajinské půdě, nebo tyto informace mohly použít k jiným účelům. Společnost Adalytics identifikovala téměř 700 případů, kdy RuTarget obdržel údaje o uživatelích poté, co k podobným datům neměl mít žádný přístup.

Mluvčí Googlu Michael Aciman uvedl, že Google zablokoval přístup RuTargetu k datům již v březnu. Od té doby nemohla ruská společnost nakupovat přes Google reklamy. Mluvčí však přiznal, že RuTarget nadále dostávala od Googlu údaje o uživatelích a o nákupu reklam, než na to ProPublica a Adalytics upozornily.

Google se údajně zavázal dodržovat všechny sankce a obchodní pravidla: „Dotyčné subjekty jsme prověřili a přijali jsme příslušná opatření nad rámec těch ze začátku tohoto roku. Cílem bylo RuTargetu zablokovat přímé používání reklamních produktů Google.“

Letadla ruských oligarchů létají dál navzdory sankcím

Informace proudící bez dohledu

Selhání společnosti Googlu dokazuje, že peníze a data mohou proudit skrze reklamní systémy bez dohledu a odpovědnosti. O uživatelích totiž sbírají informace například reklamní mobilní identifikátory (ID). Takové ID má každý chytrý telefon a slouží jako jedinečný identifikátor daného zařízení. Funguje stejně jako cookies na mobilních prohlížečích, které sledují, sdílejí a dál prodávají aktivitu uživatele v aplikacích a na webových stránkách.

Soubory cookies usnadňují používání internetu tím, že ukládají informace o prohlížení. Řadí se sem například zapamatování si hesel a personalizace reklam. Zároveň tím ale uživatel poskytuje například Googlu cenné informace o tom, kolik času stráví na internetových stránkách a jak se přitom chová. Na základě polohy uživatele, jeho nedávného vyhledávání v Google vyhledávači nebo tím, na co se právě dívá, pak vznikají reklamy šité na míru.

Google se pochybení s RuTargetem nicméně brání odkázáním na zásady Google Play, což je online distribuční služba, která umožňuje stahování aplikací do chytrých telefonů s operačním systémem Android. Tato pravidla Googlu dovolují používat údaje o uživatelích pouze k reklamě. Data se tedy dále neprodávají. Mobilní reklamní ID bylo podle Google vytvořeno proto, aby uživatelům poskytlo kontrolu a soukromí.

Pandora Papers: Oligarchové a bankéři

Jak se z uživatelských dat stává komodita

Se všemi údaji, jež mohou nasbírat soubory cookies, se nadále obchoduje při nákupu digitální reklamy. Společnosti si mezi sebou vyměňují všechny střípky informací, které o uživatelích sbírají: od mobilních ID, IP adres počítačů, informací o poloze nebo zvyklostech při prohlížení webu.

Data, která se používají k usnadnění nákupu reklamy, se nazývají „bidstream location data“, zkráceně bidstream. V podstatě se jedná o síť reklamních požadavků pro inzerenty. Tato data jsou důležitá při reklamních aukcích, jež probíhají v reálném čase (real-time bidding, zkráceně RTB). Výsledkem RTB je umístění digitálních reklam na webové stránky nebo do aplikací.

Při těchto aukcích se setkávají dvě strany: vydavatel s nabídkou reklamního prostoru a inzerent, který chce reklamní prostor koupit, aby mohl umístit svou reklamu na internet. Díky tomu, že aukce probíhá v reálném čase, inzerent s vydavatelem už nevyjednává o ceně. Tu stanovuje trh, který také rozhoduje, jestli mají inzerenti zájem umístit svou reklamu na danou vydavatelskou doménu. K tomu využívá právě bidstreamová data a hodnotí, jestli je daná reklama vhodná pro konkrétního uživatele.

Aukce začíná v momentě vstupu uživatele na webovou stránku. Během milisekund jsou sdílené veškeré údaje o daném uživateli s potenciálními inzerenty. Na takovou nabídku reagují takzvané Demand Side Platforms (DSP). Pomocí nich inzerenti nakupují reklamní prostor. Reklamní společnosti typu RuTarget a další tak přijímají a ukládají tato bidstreamová data bez ohledu na to, jestli nabídku reklamního prostoru využijí. To jim pomáhá získat obrovská množství dat.

V tomto systému Google funguje jako burza reklamy. Propojuje kupující a prodávající a usnadňuje sdílení bidstremových dat. Tím, že Google ponechal společnosti RuTarget přístup na svou aukční burzu reklam, měl RuTarget k dispozici všechna tato data. Čím více by RuTarget spolupracoval s velkými poskytovateli reklamy, tím více dat by získal. Což v souvislosti s ruskou agresí představuje bezpečnostní hrozbu.

Russian Asset Tracker: Největší databáze majetků mocných Rusů

Partneři Googlu pod pokličkou

Šest amerických senátorů požádalo Google a další reklamní burzy o seznam partnerů, s nimiž v posledních třech letech sdílely bidstreamová data. Google tento seznam odmítl poskytnout. Své rozhodnutí odůvodnil tím, že má smluvní závazek k zachování mlčenlivosti.

Na webových stránkách Googlu je přitom osm internetových stránek, kde jsou uvedeny stovky společností, které mají přístup právě k údajům o uživatelích. Jeden ze seznamů obsahuje více než 300 společností, z nichž 19 má blízké vazby na Čínu a 16 dalších sídlí v Rusku. Mezi ně spadá společnost RuTarget. Více než 10 z nich je veřejně označováno jako „RTB bidders“, v překladu dražitelé v aukcích probíhajících v reálném čase.

Uživatelské údaje, které Google sdílí s RuTargetem, pocházejí z milionů webových stránek a aplikací. Ty se spoléhají na to, že jim Google pomůže vydělat peníze z reklam. Patří mezi ně například i zahraniční zpravodajská agentura Reuters nebo americká sportovní televizní stanice ESPN. RuTarget tak má přístup k údajům všech uživatelům, kteří navštěvují jejich internetové stránky.

Data se k ruské společnosti dostanou prostřednictvím vyskakovacího okna, ve kterém uživatelé souhlasí s poskytnutím souborů cookies. RuTarget je totiž uveden jako příjemce těchto uživatelských údajů. Mluvčí agentury Reuters upozornil, že společnosti ve vyskakovacím okně pocházejí ze seznamu dodavatelů. Ten poskytuje a spravuje právě Google. Jeho tržní síla tak nedává webovým stránkám jinou možnost než se společnostmi v seznamu spolupracovat.

Autorka textu: Kamila Plzáková
Autorka úvodní grafiky: Martina Bartl

The post Jak Google umožnil ruské reklamní společnosti sbírat uživatelská data appeared first on investigace.cz.