Как «Фейсбук» предоставляла изготовителям устройств обширный доступ к данным пользователей и друзей

Компания создала партнерства по обмену данными с «Эппл», «Самсунгом» и другими изготовителями устройств. Это вызвало новую обеспокоенность по поводу защиты частной информации.

Когда компания «Фейсбук» пыталась стать ведущим в мире сервисом социальных сетей, она заключала соглашения с изготовителями телефонов и прочих устройств, которые получали доступ к огромным массивам личных данных пользователей.

«Фейсбук» за последнее десятилетие заключила партнерства по обмену данными как минимум с 60 изготовителями устройств, среди которых были компании «Эппл», «Амазон», «Блэкберри», «Майкрософт» и «Самсунг». Началось это еще до того, как приложения Фейсбук стали широко доступны на смартфонах. По словам руководителей компании, такие сделки позволили ей расширить пределы своей досягаемости и дали возможность изготовителям устройств предлагать клиентам популярные функции социальной сети, такие как текстовые сообщения, кнопки лайков и адресные книги.

Но такие партнерства, о масштабах которых прежде никто не сообщал, вызвали обеспокоенность относительно корпоративных мер защиты частной информации и соответствия условиям соглашения с Федеральной торговой комиссией от 2011 года. Компания «Фейсбук» предоставляла производителям устройств доступ к данным о друзьях пользователей без их согласия, хотя и заявляла, что больше не будет делиться такой информацией с чужими. Некоторые изготовители устройств смогли получить персональную информацию даже от друзей пользователей, считавших, что они запретили любой такой обмен. Все это удалось выяснить «Нью-Йорк Таймс».

Большинство таких партнерств действуют до сих пор, хотя в апреле «Фейсбук» начала от них отказываться. Компания подверглась испытующим проверкам со стороны законодателей и нормативных органов после появления в марте сообщений о том, что консалтинговая фирма по политическим вопросам «Кембридж Аналитика» нарушала правила, используя частную информацию десятков миллионов пользователей Фейсбук.

Грянула буря, и руководство компании «Фейсбук» заявило, что уже на следующий год тот доступ, которым пользовалась «Кембридж Аналитика» в 2014 году, был ликвидирован, и что «Фейсбук» запретила разработчикам собирать информацию у друзей пользователей. Однако руководство ничего не сообщило о том, что компания освободила от этого запрета изготовителей сотовых телефонов, планшетов и прочей аппаратуры.

«Можно подумать, что „Фейсбук" или производители устройств заслуживают доверия, — сказал исследователь из Калифорнийского университета в Беркли Серж Эгельман (Serge Egelman), занимающийся вопросами безопасности мобильных приложений. — Но проблема заключается в том, что на устройство собирается все больше и больше данных, и если приложения такого устройства могут получить к ним доступ, это создает серьезные риски для конфиденциальности и безопасности».

Давая интервью, руководители «Фейсбук» настаивали на том, что обмен данными не нарушает политику конфиденциальности, соглашение Федеральной торговой комиссии и обязательства перед пользователями. По их словам, партнерства руководствуются контрактами, которые строго ограничивают использование таких данных, включая те, что хранятся на серверах партнеров. Руководители отмечали, что им неизвестны случаи, когда информация использовалась ненадлежащим образом.

Компания считает своих партнеров, производящих устройства, этаким филиалом «Фейсбук», обслуживающим два с лишним миллиарда пользователей социальной сети.

«Эти партнерства в своей работе очень сильно отличаются от того, как разработчики приложений используют нашу платформу», — сказал вице-президент «Фейсбук» Име Арчибонг (Ime Archibong). В отличие от разработчиков, предоставляющих пользователям Фейсбук игры и услуги, партнеры из числа производителей могут использовать данные из соцсети только для создания версий «опыта Фейсбук», заявляют руководители.

Некоторые партнеры-изготовители устройств могут получать данные пользователей Фейсбук о статусе их взаимоотношений, о религии, о политических пристрастиях, о предстоящих событиях и прочее. Проверки, проведенные «Нью-Йорк Таймс», показали, что партнеры запрашивали и получали данные точно так же, как и третьи стороны.

Мнение компании «Фейсбук» о том, что изготовители устройств не посторонние, позволило таким партнерам пойти еще дальше. Как выяснило издание, они могут получать данные о друзьях пользователей Фейсбук, причем даже о тех, кому Фейсбук не разрешает делиться информацией с третьими сторонами.

В ходе интервью некоторые бывшие программисты «Фейсбук» и эксперты по безопасности заявляли, что для них стала неожиданностью возможность обходить стороной запреты на передачу данных.

«Это похоже на то, что ты ставишь замки на двери, а потом выясняется, что слесарь раздал ключи всем своим друзьям, и теперь они могут приходить и рыться в твоих вещах, не спрашивая разрешения», — сказал консультант по вопросам конфиденциальности информации Ашкан Солтани (Ashkan Soltani), ранее работавший главным технологом в Федеральной торговой комиссии.

Подробности о партнерствах «Фейсбук» стали известны, когда Кремниевая долина начала подсчитывать объемы персональной информации, собираемой в интернете и превращаемой в деньги компаниями информационных технологий. Повсеместный сбор данных, который в США почти никто не регулирует, все чаще подвергается критике со стороны избранных руководителей внутри страны и за рубежом, а также вызывает обеспокоенность среди потребителей, которые не знают, насколько свободно распространяется их персональная информация.

Выступая в марте в конгрессе, глава «Фейсбук» Марк Цукерберг подчеркнул приоритеты компании в отношении пользователей. «Вы владеете каждым элементом контента, которым делитесь в Фейсбук, — заявил он во время напряженных слушаний. — Вы полностью контролируете, кто видит это, и как вы этим делитесь».

Но партнерства с изготовителями устройств вызывали дискуссии внутри «Фейсбук» еще в 2012 году, о чем рассказывает Сэнди Паракилас (Sandy Parakilas), в то время руководивший рекламой третьих сторон и занимавшийся вопросами соответствия правилам конфиденциальности на платформе Фейсбук.

«Внутри компании это подвергали критике как вопрос конфиденциальности, — сказал Паракилас, покинувший в 2012 году „Фейсбук", а с недавних пор начавший ее резко критиковать. — Шокирует то, что такая практика наверняка продолжается даже спустя шесть лет, и похоже, она противоречит заявлениям „Фейсбук" в конгрессе о том, что все разрешения друзей были аннулированы».

Эти партнерства были вкратце упомянуты в документах, представленных немецким законодателям, расследующим практику соблюдения конфиденциальности персональной информации этой социальной сетью, и опубликованных компанией в середине мая. Но «Фейсбук» назвала законодателям только одного такого партнера — «Блэкберри», который производит очень популярное прежде мобильное устройство. Вместе с тем, она предоставила очень мало сведений о том, как работают такие соглашения.

После этого свои показания на апрельских парламентских слушаниях за закрытыми дверями дал вице-президент «Фейсбук» по глобальной общественной политике Джоэль Каплан (Joel Kaplan). Задававшая вопросы Каплану Элизабет Винкельмейер-Беккер (Elisabeth Winkelmeier-Becker) заявила в интервью, что по ее мнению, те партнерства, о которых рассказала компания «Фейсбук», нарушают права пользователей на неприкосновенность частной информации.

«Мы пытаемся определить, сознательно ли „Фейсбук" передавала данные пользователей без их согласия, — сказала Винкельмейер-Беккер. — Я бы никогда не подумала, что такое может происходить тайно, посредством сделок с изготовителями устройств. Пользователей Блэкберри превратили в поставщиков данных, и они делали это неосознанно сами того не желая».

В интервью «Нью-Йорк Таймс» «Фейсбук» назвала и других партнеров — «Эппл» и «Самсунг», которые являются крупнейшими в мире производителями смартфонов, и «Амазон», которая продает планшеты.

Пресс-секретарь «Эппл» заявил, что компания посредством конфиденциального доступа к данным Фейсбук выходила на функции, позволяющие пользователям, среди прочего, размещать в соцсети фотографии, не открывая приложение Фейсбук. Он отметил, что у телефонов компании с сентября прошлого года больше нет такого доступа к Фейсбук.

Представители «Самсунг» отказались ответить на вопрос о том, есть ли у них какие-то партнерства с «Фейсбук» о предоставлении данных. То же самое сделали представители «Амазон».

Официальный представитель «Блэкберри» Ашер Либерман (Usher Lieberman) в своем заявлении отметил, что его компания использовала данные из Фейсбук только для того, чтобы дать своим клиентам доступ к соцсети и к сообщениям. Он заявил, что компания «не искала и не собирала данные наших клиентов в Фейсбук», а также добавил, что «Блэкберри» всегда защищает данные о клиентах, а не использует их к собственной финансовой выгоде«.

«Майкрософт» вступила в партнерство с «Фейсбук» в 2008 году, и это дало возможность ее пользователям выполнять на своих устройствах такие операции как добавление контактов и друзей, а также получение уведомлений. Об этом сообщил представитель «Майкрософт». Он добавил, что данные хранятся на телефонах и не синхронизированы с серверами компании.

«Фейсбук» признает, что некоторые партнеры все-таки хранили на своих серверах данные пользователей, в том числе, данные друзей. Представитель компании сказал, что где бы ни хранились эти данные, на них распространяется действие строгих соглашений между компаниями.

«Меня ошеломило мнение о том, что кто-то в руководстве „Фейсбук" мог подумать, будто было бы неплохо дать третьим сторонам доступ к данным», — сказал профессор Колумбийского университета Хеннинг Шульцринне (Henning Schulzrinne), специализирующийся на сетевой безопасности и на мобильных системах.

Скандал с «Кембридж Аналитика» показал, насколько небрежно компания «Фейсбук» контролировала энергичное сообщество разработчиков, создававших приложения на ее платформе. Среди них были и хорошо известные игроки типа фирмы «Зинга», которая сделала игру «ФармВилл» (FarmVille), и компании поменьше, такие как один подрядчик «Кембридж Аналитика», использовавший опрос 300 тысяч пользователей Фейсбук для получения доступа к профилям 87 миллионов их друзей.

Эти разработчики пользовались открытыми каналами данных Фейсбук, такими как интерфейсы программирования приложений API. Но начиная с 2007 года, компания также создала закрытые каналы данных для изготовителей устройств.

В то время мобильные телефоны были не такими мощными, и лишь на немногих можно было запускать индивидуальные приложения Фейсбук типа тех, что сегодня нашли широкое применение в смартфонах. Компания до конца 2014 года продолжала создавать новые закрытые интерфейсы программирования приложений, распространяя данные пользователей через десятки миллионов мобильных устройств, игровых консолей, телевизоров и прочих систем, неподконтрольных напрямую Фейсбук.

В апреле компания начала сворачивать свои партнерства, оценив практику своей работы в вопросах конфиденциальности информации после скандала с «Кембридж Аналитика». Арчибонг заявил, что его компания сделала вывод о том, что такие партнерства больше не нужны для обслуживания ее пользователей. Она аннулировала около 22 партнерств.

Из-за того широкого доступа, который «Фейсбук» предоставляла изготовителям устройств, возникают вопросы относительно того, выполняла ли компания требования соглашения с Федеральной торговой комиссией от 2011 года.

Согласно этому соглашению, «Фейсбук» запрещается менять установки пользователей без их разрешения. Данное соглашение, заключенное во внесудебном порядке, стало результатом расследования, в ходе которого выяснилось, что «Фейсбук» разрешала разработчикам приложений и другим третьим сторонам собирать персональные данные о друзьях пользователей по социальной сети, даже когда эти друзья требовали сохранять их информацию в тайне.

После разоблачений «Кембридж Аналитика» Федеральная торговая комиссия начала расследование, дабы выяснить, не продолжала ли компания «Фейсбук» делиться данными о пользователях после нарушения условий соглашения в 2011 году. Такое повторное нарушение грозило ей штрафами.

Руководство компании утверждало, что закрытые каналы данных не нарушают условия соглашения, потому что «Фейсбук» считает своих партнеров из числа разработчиков аппаратного обеспечения «провайдерами услуг», похожими на «облачные» сервисы, которые получают деньги за хранение данных «Фейсбук» или той компании, которая подрядилась обрабатывать операции по кредитным картам. Согласно условиям внесудебного соглашения, «Фейсбук» не надо получать дополнительное разрешение для того, чтобы делиться данными о друзьях с провайдерами услуг.

«Эти подряды и партнерства полностью соответствуют условиям соглашения „Фейсбук" с Федеральной торговой комиссией», — сказал вице-президент «Фейсбук» Име Арчибонг.

Однако бывшая сотрудница ФТС Джессика Рич (Jessica Rich), руководившая первым расследованием комиссии в отношении «Фейсбук», не согласна с такой оценкой.

«Если брать интерпретацию „Фейсбук", то получается, что исключение отменяет правило, — сказала Рич, ныне работающая в Союзе потребителей. — Компания может утверждать, что любое предоставление данных третьим сторонам является составной частью практики работы „Фейсбук". Но общество в 2014 году совсем не так истолковало ее объявление о том, что компания ограничит доступ к данным о друзьях для приложений третьих сторон».

Чтобы проверить доступ одного из партнеров «Фейсбук» к закрытым каналам данных, «Нью-Йорк Таймс» воспользовалась аккаунтом своего репортера в этой социальной сети (у него там около 550 друзей) и смартфоном Блэкберри 2013 года производства. Газета начала следить, какие данные запрашивало и получало это устройство. (По словам представителей этой компании, в более новых версиях устройств Блэкберри на операционной системе «Андроид» эти закрытые каналы не используются.)

Как только репортер подключил устройство к своему аккаунту в Фейсбук, оно запросило некие данные из его профиля, в том числе, имя пользователя, фотографию, информацию о нем, местонахождение, адрес электронной почты и номер сотового телефона. Затем устройство извлекло частные сообщения репортера и ответы на них вместе с именами пользователей каждого человека, с кем он связывался.

Эти данные были переданы на приложение устройства под названием «Хаб», которое позволяет пользователям Блэкберри просматривать все свои сообщения и аккаунты в социальных сетях в одном месте.

Приложение «Хаб» также запросило (и получило) данные, передача которых по правилам «Фейсбук» запрещена. С 2015 года компания заявляет, что приложения могут запрашивать только имена друзей, пользующихся тем же самым приложением. Однако приложение компании «Блэкберри» имело доступ ко всем друзьям репортера в Фейсбук, а также информацию по большинству из них, такую как имя пользователя, день рождения, место работы, образование, и находятся ли эти люди в данный момент в сети.

Устройство компании «Блэкберри» также смогло извлечь идентификационную информацию почти о 295 тысячах пользователях Фейсбук. В основном это были друзья репортера по социальной сети второго уровня или друзья друзей.

Как выяснила «Нью-Йорк Таймс», в целом «Фейсбук» дает устройствам Блэкберри доступ к 50 с лишним видам информации о пользователях и их друзьях.