Охота за информацией: кто и зачем собирает персональные данные в интернете?

Сегодня практически не осталось организаций, которые так или иначе не занимались бы сбором информации о существующих или потенциальных клиентах. Компании, банки, социальные сети и поисковики активно собирают информацию о своих пользователях — чтобы с ее помощью расширять аудиторию и лучше продавать свои услуги.

Анализ big data становится одним из наиболее востребованных инструментов для поиска и изучения аудитории, а также повышения ее лояльности. По оценке международной исследовательской компании IDC, к концу этого года на работу с большими пользовательскими данными компании по всему миру потратят около $189 млрд. 

Пользователям, которые оказываются объектами чужих бизнес-интересов, все сложнее сохранить информацию о себе в секрете. Пользуясь интернетом, приложениями или услугами мобильных операторов, они оставляют множество «цифровых следов». Bloomchain разбирался в том, кто, как и зачем их собирает.

Социальные сети и поисковики

В десятку самых популярных сайтов в мире по версии Alexa входят три поисковые системы и две социальные сети: Google, Baidu, Yahoo, Facebook и Youtube. В  российском рейтинге соотношение сохраняется — в лидерах все тот же Google, а также отечественные «Яндекс», Mail.Ru, «ВКонтакте» и «Одноклассники». 

Поисковики и соцсети в основном зарабатывают на рекламе. Google и «Яндекс» владеют одними из крупнейших контекстно-медийных сетей — Google Display Network и «Яндекс Директ» соответственно. Эти сети объединяют сотни тысяч сайтов и генерируют огромный рекламный трафик: только Google Display Network ежемесячно делает до 2 млрд показов рекламы, в том числе на самых популярных сайтах и платформах в мире вроде Youtube или почтового сервиса Gmail. Аналогичные механизмы используют и социальные сети, каждая из которых имеет свою мощную рекламную сеть (например, Facebook Ads или рекламная сеть «Вконтакте»).

«Чтобы демонстрировать пользователю релевантные товары и услуги, необходимо собирать и анализировать пользовательские данные», — рассказал Bloomchain руководитель департамента системных решений Group-IB Анатолий Фишман.

Чтобы эффективно управлять рекламным трафиком, компании сегментируют аудиторию по максимально возможному количеству показателей: от возраста и места жительства до привычек, интересов и образа жизни пользователей.

Для этого компании и собирают персональные данные; какие именно и для каких целей — пользователь узнает при первом контакте с любым из сервисов поисковой системы или соцсетью. При регистрации в подобных сервисах необходимо прочитать и одобрить их политику конфиденциальности.

Согласие с политикой конфиденциальности — обязательное условие взаимодействия сайта и пользователя. Принятие правил может упростить работу в сети, однако при этом стоит забыть об анонимности: современные системы сбора информации способны за несколько секунд составить «цифровой портрет» пользователя. 

Более того, поисковики оставляют за собой право собирать информацию даже о тех пользователях, которые не хотят заводить аккаунт в их системе. Эти данные извлекаются при помощи инструментов, встроенных в браузеры — например, при помощи файлов cookie. Они также позволяют с большой долей точности сегментировать аудиторию и в дальнейшем идентифицировать пользователей. Таким же образом поисковики собирают данные, синхронизируясь с мобильными устройствами.

Однако стоит отметить, что не только поисковики и социальные сети пристально следят за своими посетителями.

Информацию о пользователях собирает подавляющее большинство сайтов в интернете. В зависимости от специфики сайтов характер собираемой информации может отличаться. Например, серьезными базами данных о пользовательских предпочтениях располагают порносайты: многие слышали об исследованиях аудитории, которые проводит Pornhub. Может показаться смешным, но эти данные имеют серьезную ценность для маркетологов: по данным Carnegie Mellon University, 93% порносайтов передают информацию о своих пользователях третьим лицам.

Источник: Carnegie Mellon University

Случаи из жизни. В нарушении правил конфиденциальности часто обвиняют самую крупную поисковую систему в мире — Google. В последнее время компанию все чаще штрафуют за непрозрачность системы сбора персональных данных, однако происходит это в основном в европейских странах. Дело в том, что в 2017 году в Европе был принят GDPR — жесткий регламент по работе с пользовательской информацией, которому иногда противоречат действия Google. 

«В политике конфиденциальности Google указано, что компания имеет право собирать пользовательские данные для улучшения и поддержки существующих сервисов. Поэтому если вы смотрите на каком-то сайте газонокосилки, то при заходе на другой сайт, вы с большой долей вероятности увидите рекламу газонокосилок», — комментирует Анатолий Фишман.

В январе этого года Национальная комиссия по делам информационных технологий и правам человека (CNIL) Франции оштрафовала Google на €50 млн за то, что компания некорректно предоставляет информацию о сборе персональных данных, из-за чего согласие пользователей на их использование не может считаться бесспорным.

Похожие проблемы испытывает и Facebook, который не раз попадал в неприятные истории, связанные с охраной персональных данных. Самый известный случай произошел весной прошлого года, когда соцсеть сообщила об утечке данных 87 млн пользователей. Информация попала к компании Cambridge Analytica, которая использовала ее для политической рекламы. Спустя год Facebook оштрафовали на $5 млрд.

Свои правила действуют и в России: с 2014 года все зарубежные онлайн-сервисы обязаны хранить персональные данные россиян на серверах внутри страны. Новые требования устроили не всех: из-за отказа выполнять закон в России заблокировали социальную сеть для поиска деловых контактов LinkedIn. Но штрафы и санкции в России пока накладывают не за реальные нарушения прав пользователей, а за невыполнение требований властей.

Что делать. Чтобы избежать «слежки» крупных поисковиков и соцсетей, придется отказаться не только от использования их сервисов, но и и от большинства самых распространенных в сети продуктов — например, от популярных браузеров. При этом нужно будет внимательно читать пользовательские соглашения на всех посещаемых сайтах и используемых приложениях. Как правило, они позволяют использовать собранные данные третьим сторонам, которыми могут оказаться все те же поисковики и соцсети.

У тех, кому этого недостаточно, есть две альтернативы. Первая — использовать прокси-поисковики, не сохраняющие данные о пользователях. Вторая — уходить в глубинный интернет, который существует по своим законам, основанным на праве пользователя сохранять полную анонимность.

Мобильные приложения

Когда пользователь устанавливает приложение на смартфон, его часто просят предоставить программе права доступа к данным на устройстве: например, к информации о контактах, геонавигации или мультимедийным файлам. Чаще всего это связано с функциональностью самого приложения. Например, приложению для заказа такси онлайн это может быть нужно для быстрой связи с таксистом или службой поддержки, либо для сканирования привязанной к аккаунту пользователя банковской карты.

Мобильные сервисы, как и поисковые системы, могут использовать полученную информацию для составления более точного портрета своей целевой аудитории.

Перечень данных, которые собирают приложения, также содержится в пользовательских соглашениях. В общем виде он повторяет те же пункты, которые содержатся в правилах конфиденциальности большинства сайтов в интернете: личные и контактные данные, тип устройства, история браузера.

Важное отличие заключается именно в мобильности устройства — большинство смартфонов находятся рядом с пользователем в момент его передвижений, поэтому приложения активно собирают информацию о посещенных человеком местах. Эта информация помогает владельцам приложений зарабатывать деньги на рекламе: достаточно вспомнить, как часто, например, сервис «Google Карты» просит поставить оценку месту, рядом с которым находился хозяин смартфона. По умолчанию этот сервис сохраняет геопозицию пользователя даже при выключенном GPS.

По словам Анатолия Фишмана, не только сайты и сервисы собирают данные и анализируют их — это также делают мобильные телефоны и другие устройства.

«если вы пользователь Google Android, и дали согласие на сбор информации, то ваш девайс будет лежать у вас в кармане и записывать то, что вы говорите, — чтобы потом сделать устройство максимально персонифицированным под вас», — отмечает специалист Group-IB.

Истории из жизни. Собранная через мобильные устройства информация позволяет составлять точные портреты пользователей, и иногда это оказывается не в пользу последних. В 2017 году в Москве активно обсуждали историю о том, что сервис «Яндекс Такси» завышал стоимость поездки для клиентов с более дорогими моделями телефонов. Впрочем, заговорили об этом на фоне серьезной маркетинговой активности конкурентов из Gett, а в самом «Яндексе» возможность подобного манипулирования отрицают.

Другая проблема — безопасность и законность использования данных, собранных приложениями. Здесь можно вспомнить российское приложение FaceApp, которое сейчас переживает новую волну популярности. Приложение, способное «состаривать» лица пользователей, скачали более ста миллионов человек. Все они приняли пользовательское соглашение, которое позволяет FaceApp полностью распоряжаться полученными данными — в том числе базой из сотни миллионов лиц. 

Что делать. У пользователя не слишком большой выбор при установке приложения, даже если оно прошло проверку Google Play или App Store. Можно или принять правила и установить программу, или не согласиться с ними и отказаться от установки. Впрочем, существует вариант с ограничением функциональности приложения — для этого нужно изучить его настройки и отказаться от разрешений, которые могут показаться лишними. 

При установке приложений стоит читать пользовательское соглашение — этот документ содержит информацию о том, чем программа будет заниматься. Гарантировать законопослушность и чистоплотность разработчиков вряд ли возможно, но дополнительно можно почитать отзывы пользователей, уже установивших приложение.

Мобильные операторы

Телеком-индустрия традиционно работает с огромным количеством «больших пользовательских данных».

«Мобильный оператор анализирует ваш профиль, сколько вы минут в день разговариваете, и потом предлагает вам оптимальный тариф. Это нельзя назвать таргетированной рекламой, но это определенная оптимизация вашего пользовательского опыта», — говорит Анатолий Фишман.

Собирая информацию о своих клиентах, мобильные операторы не только корректируют старые или запускают новые тарифы, но и ведут борьбу со спамом и мошенничеством, оптимизируют работу собственных колл-центров, делают прогнозы по динамике абонентской базы и финансовым показателям. 

Задачу по сбору информации о своих пользователях мобильным операторам упрощает законодательство: находясь в России, невозможно купить sim-карту без предоставления паспортных данных. После начала ее использования абонент постоянно переключается между мобильными вышками, которые фиксируют его расположение в режиме 24/7. 

Анализируя эту информацию, мобильный оператор может составить детальное досье на каждого из своих пользователей: где он работает, сколько денег тратит на развлечения, где ужинает, в каких магазинах покупает еду и одежду, как часто отдыхает за границей.

Эта информация может иметь большую ценность для сторонних компаний: еще в 2015 году операторы большой российской тройки запустили скоринговые сервисы, позволяющие оценивать платежеспособность клиента, который обращается за кредитом в банк.

История из жизни. В марте «Ведомости» опубликовали материал о том, что в период с 2015 по 2018 годы столичный Департамент информационных технологий (ДИТ) потратил почти 520 млн рублей на покупку геоаналитики у российских мобильных операторов. 

Закупая данные у игроков телеком-индустрии, столичные чиновники определяют, где живут, работают и ночуют жители Москвы, как они передвигаются по городу и как часто выезжают за его пределы. Это возможно благодаря анализу передвижений активных sim-карт по городу с точностью до нескольких минут и сотен метров. Заявленная цель — оптимизация транспортной инфраструктуры российской столицы.

Повышенный интерес к данным геоаналитики, которую могут предоставить мобильные операторы, есть также у транспортных компаний и ритейла. Они получают возможность определять оптимальное расписание перевозок и более выгодное расположение торговых точек.

Что делать. В случае с мобильными операторами приходится рассчитывать прежде всего на их чистоплотность. Российский телеком-сектор — это высококонкурентная среда. Репутационные издержки от возможных случаев незаконного использования личных данных пользователей — например, их передаче коллекторским агентствам — могут повлиять на операционные показатели компаний.

Банки

В последние несколько лет крупнейшие мировые и российские банки начали превращаться из обычных кредитно-финансовых организаций в крупные и постоянно растущие экосистемы. Bloomchain подробно разбирал этот процесс, в ходе которого банки активно скупают непрофильные активы из самых разных областей: от лайфстайла и недвижимости до медицины и облачных технологий.

Читать также: сколько стоит построить экосистему в банке

Цель такой стратегии — аккумулирование на своих технологических платформах клиентских баз различных компаний, которые могут охватить весь жизненный цикл пользователя. Использование разных площадок позволяет банкам создавать еще более подробные портреты пользователей и максимально персонализировать свои предложения.

Сбор персональных данных позволяет банкам оптимизировать затраты и систему управления, управлять рисками и персоналом, заниматься оценкой кредитоспособности клиентов и решать множество других задач. Банки собирают информацию о клиентах всеми возможными способами: при помощи оффлайн-отделений, онлайн-рекламы, дочерних проектов и маркетинговых партнеров, социальных сетей, мобильных приложений. 

Читайте также: индивидуальный подход: как персонализация стала драйвером развития для банков

Однако в банковской сфере очень остро стоит вопрос безопасности данных. Мошенникам зачастую не приходится взламывать системы безопасности или атаковать инфраструктуру банков. По данным Group-IB, более 80% хищений денежных средств со счетов физических лиц производится с использованием методов социальной инженерии.

Для таких атак необходима информация о пользователях, рассказывает Анатолий Фишман. «Очень простой и распространенный пример: вы получаете звонок от якобы сотрудника службы безопасности банка, который предупреждает вас о подозрительной активности, связанной с вашим счетом. Он обращается к вам по имени и может назвать информацию о последних операциях, тем самым снимая подозрения. Далее вас просят сообщить смс-код, кодовое слово или данные карты и через некоторое время у вас списывают какую-то сумму денег. Откуда у злоумышленников ваши данные? Все очень просто: данные пользователей банков активно продаются и покупаются в даркнете. Злоумышленникам не составляет никакого труда их приобрести и использовать в мошеннических схемах для шантажа и компрометации пользовательских аккаунтов», — говорит эксперт.

Читайте также: как не стать жертвой мошенников

По словам Фишмана, в таких случаях пользователь не может обезопасить себя от утечки своих персональных данных. Ответственность ложится на операторов данных — банки и финансовые организации, которым нужно внимательно относится к вопросу обеспечения кибербезопасности. Например, использовать системы для предотвращения кибератак на ранней стадии.

История из жизни. В прошлом году одной из самых обсуждаемых тем в банковской среде стал запуск Единой биометрической системы (ЕБС). Эту инициативу развивает Центральный банк России, который стремится присоединить к программе как можно больше кредитных организаций.

ЕБС предполагает обслуживание клиентов в банках с помощью биометрии — «слепков» голоса и лица. По мнению ЦБ, это должно упростить работу с пользователями и снизить вероятность мошенничества. Банки-участники системы предлагают своим клиентам сдать фотографии и образцы голоса, которые помогут подтвердить личность при дистанционном обслуживании. 

ЕБС создавалась для того, чтобы облегчить жизнь клиентам банков. Однако уже в момент ее запуска допускалось, что доступ к ней могут получить МВД и ФСБ — причем без уведомления клиентов. С учетом того, что закон определяет сдачу биометрии как полностью добровольный процесс, несложно объяснить, почему россияне не спешат делиться своими данными с ЕБС. 

Точных сведений о количестве банковских клиентов, поделившихся своей биометрией с банками через ЕБС, нет. Однако известно, что к концу прошлого года их было всего три тысячи, а к началу нынешнего лета показатель вырос всего в несколько раз. Особняком в этой истории, как всегда, стоит Сбербанк, который отказался подключаться к общей системе. Крупнейший банк России создает собственную биометрическую базу, в которой к концу прошлого года насчитывалось «несколько миллионов» образцов.

Что делать. Нужно помнить, что правила безопасности при работе в интернете едины для всех. Сайты и приложения банков не отличаются от многих других сервисов — как и правила безопасности при работе с ними. 

Если речь идет о принципиально новых опциях, как в случае со сбором биометрии, то следует внимательно изучать законы, в которых подробно описаны права банков при работе с персональными данными.

Как сохранить персональные данные в безопасности?

«Фактически мы говорим сегодня о глобальной проблеме — отсутствии так называемого цифрового иммунитета у людей. Преступность уходит в интернет и современный человек с большей долей вероятности станет жертвой киберпреступления, чем разбоя или грабежа», — считает Анатолий Фишман.

Защитить персональные данные чаще всего помогают самые элементарные правила цифровой гигиены, обращает внимание эксперт.

Прежде всего, отмечает он, стоит отключать все возможные сервисы отслеживания местоположения и отправки данных третьим лицам. «Устанавливайте только те приложения, которые вам нужны и ограничивайте их доступ к контактам, диктофону или камере. Давайте разрешение на доступ к тем данным, которые действительно необходимы для работы конкретного приложения», — подчеркивает эксперт.

Кроме этого, следует внимательно читать пользовательские соглашения. По словам Фишмана, именно в них содержится информация о том, на сбор каких данных пользователь дает разрешение. «Также стоит помнить о законе о персональных данных. Вы, как пользователь, имеете право требовать удаления своих данных из системы и запретить обработку этих данных или передачу их третьим лицам”, — добавляет Фишман.

Эксперт отмечает, что обезопасить себя от утечки данных или их неправомерной передачи третьих лицам со стороны оператора невозможно. Это доказывает та же история с Cambridge Analytics. В этой ситуации, отмечает специалист Group-IB, следует очень внимательно следить за тем, какую информацию в сети оставляет пользователь.

«Если вы пользуетесь благами цифровой цивилизации, то приходится жить по новым правилам. И с четким пониманием того, что все, что вы скажете, напишете или опубликуете в интернете, может быть использовано против вас», — заключает Фишман.