Антивирусное подразделение Avast продает ‘Every search. Every click. Every buy. On every site.’ Среди его клиентов: Home Depot, Google, Microsoft, Pepsi и McKinsey.
Документы, принадлежащие филиалу антивирусного гиганта Avast под названием Jumpshot, проливают новый свет на скрытую историю продаж интернет-истории пользователей.
Они показывают, что антивирусная программа Avast, установленная на компьютере пользователя, собирает данные и что Jumpshot создает из данных различные продукты, которые затем продаются многим крупнейшим компаниям в мире.
Некоторые из прошлых, настоящих и потенциальных клиентов включают Google, Yelp, Microsoft, McKinsey, Pepsi, Sephora, Home Depot, Condé Nast, Intuit и многие другие. Некоторые клиенты платили миллионы долларов за продукты, которые включают в себя так называемый «All Click Feed», который позволяет с высокой точностью отслеживать поведение пользователей, клики и перемещение по веб-сайтам.
Avast утверждает, что имеет более 435 миллионов активных пользователей в месяц, а Jumpshot утверждает, что она имеет данные со 100 миллионов устройств. Avast собирает данные от подписанных пользователей, а затем предоставляет их Jumpshot, но несколько пользователей Avast сообщили, что они не знают, что Avast продал данные о просмотре, что вызывает вопросы о том, насколько информировано это согласие.
В числе того, что разработчик продавал другим компаниям-гигантам числилась информация о результатах поиска пользователей в Google, поиска различных мест в Google Maps, активности профессиональной соцсети LinkedIn, а также данные о посещении видеосервиса YouTube и различных порносайтов.
Motherboard and PCMag связались с более чем двумя десятками компаний, упомянутых во внутренних документах. Лишь немногие ответили на вопросы о том, что они делают с данными, основанными на истории просмотров пользователей Avast.
На своем веб-сайте Jumpshot перечисляет некоторые предыдущие примеры использования своих данных для просмотра. Например, гигант журналов и цифровых медиа Condé Nast использовал продукты Jumpshot, чтобы увидеть, привела ли реклама медийной компании к покупкам на Amazon и в других местах. Condé Nast не ответил на запрос о комментарии.
Другим продуктом Jumpshot является так называемый «All Click Feed». Это позволяет клиенту покупать информацию обо всех кликах, которые Jumpshot видел на конкретном домене, таких как Amazon.com, Walmart.com, Target.com, BestBuy.com или Ebay.com.
В своем твите, отправленном в прошлом месяце с целью привлечь новых клиентов, Jumpshot отметил, что он собирает «Каждый поиск. Каждый клик. Каждая покупка. На каждом сайте»
Данные Jumpshot могут показать, как кто-то с установленным на своем компьютере антивирусом Avast искал продукт в Google, щелкнул ссылку, которая шла в Amazon, а затем, возможно, добавил товар в свою корзину на другом веб-сайте, прежде чем, наконец, купить продукт — пояснил источник предоставивший документы.
Данные Jumpshot не могут быть полностью анонимными. Во внутреннем руководстве по продукту говорится, что идентификаторы устройств не меняются для каждого пользователя, «если пользователь полностью не удаляет и не переустанавливает программное обеспечение безопасности». Многочисленные статьи и научные исследования показали, как можно разоблачить людей, используя так называемые анонимные данные. В 2006 году репортеры New York Times смогли идентифицировать конкретного человека по кешу предположительно анонимных поисковых данных, которые AOL публично опубликовала. Хотя проверенные данные были более сфокусированы на ссылках в социальных сетях, которые Jumpshot несколько отредактировал, исследование Стэнфордского университета, проведенное в 2017 году, показало, что можно было идентифицировать людей по анонимным данным веб-браузера.
Деанонимизация становится все более серьезной проблемой при рассмотрении вопроса о том, как конечные пользователи данных Jumpshot могут объединить их со своими собственными данными.
Motherboard and PCMag задали Avast ряд подробных вопросов о том, как она защищает анонимность пользователей, а также подробную информацию о некоторых контрактах компании.
Avast не ответил на большинство вопросов, но написал в заявлении: «Благодаря нашему подходу мы гарантируем, что Jumpshot не получит личную идентификационную информацию, включая имя, адрес электронной почты или контактные данные, от людей, использующих наше популярное бесплатное антивирусное программное обеспечение».
«У пользователей всегда была возможность отказаться от обмена данными с Jumpshot. По состоянию на июль 2019 года мы уже начали реализовывать явный выбор для всех новых загрузок нашего AV, и теперь мы также запрашиваем наших существующих бесплатных пользователей, сделать явный выбор — процесс, который будет завершен в феврале 2020 года », — заявили в Аваст, добавив, что компания соблюдает Калифорнийский закон о защите прав потребителей (CCPA) и общие европейские правила защиты данных (GDPR) для всей своей глобальной пользовательской базы.
