Whistleblower: ’Mange selskaber har malket Facebook for brugerdata’

Flere hundrede millioner facebookbrugere har med stor sikkerhed fået stjålet deres private oplysninger af virksomheder. Virksomheder, der har brugt tilsvarende metoder som det udskældte firma, der indsamlede millionsvis af profildata og videregav dem til Cambridge Analytica til brug for målrettet politisk kampagnevirksomhed.

Det hævder i hvert den nye whistleblower Sandy Parakilas, der fra 2011 til 2012 var ’platformsoperationschef’ på Facebook med ansvar for at føre tilsyn med brud på datasikkerheden fra tredjepartssoftwareudviklere. Han fortæller således nu til The Guardian, at han dengang advarede selskabets chefer om, at de med deres lemfældige tilgang til databeskyttelse pådrog sig en risiko for store sikkerhedsbrist.

»Mine bekymringer var, at alle de data, der gik fra facebookservere til udviklere, ikke kunne overvåges af Facebook – og at vi så ville være afskåret fra at få indsigt i, hvad udviklerne gjorde med dataen,« siger han.

Parakilas fortæller, at Facebook havde formuleret servicevilkår og udviklet indstillinger, som brugere »ikke læste eller forstod«. Og at selskabet end ikke anvendte sine mekanismer for håndhævelse, herunder revision af eksterne udviklere, for at sikre sig, at data ikke blev misbrugt.

Parakilas, hvis arbejde var at undersøge datasikkerhedsbrud blandt udviklere som Global Science Research – der nu ser ud til at have udleveret data fra titusindvis af facebookprofiler til Cambridge Analytica – siger, at de seneste afsløringer kun forstærker hans skuffelse over, at hans daværende overordnede hos Facebook ikke ville lytte til advarslerne.

»Det har været smertefuldt at følge,« siger han. »Især fordi jeg ved, at de kunne have forhindret det.«

Nul kontrol

På spørgsmålet om, hvilken kontrol Facebook havde over data til eksterne udviklere, svarer han: »Nul. Absolut ingen. Når dataene forlod facebookservere, var der ingen kontrol, og der var ingen indsigt i, hvad der foregik.«

Parakilas siger, at han »altid anså det for selvfølgeligt, at der ville komme en slags sort marked for facebookdata, der er overført til eksterne udviklere«. Derfor anbefalede han sine foresatte, at virksomheden proaktivt »reviderede udviklerne direkte og holdt øje med, hvad der skete med dataen«.

Ifølge whistlebloweren rådede en facebookekspert ham til ikke at se for nøje på, hvordan brugerdataen blev brugt. Eksperten skulle angiveligt have advaret ham med disse ord: »Er du sikker på, du ønsker at se, hvad du finder?«

Parakilas forstod bemærkningen sådan, at »Facebook ville stå i en stærkere retsstilling, hvis det ikke havde kendskab til det misbrug, der foregik«.

»De mente, at det var bedst ikke at opsøge den viden. Det fandt jeg chokerende.«

Parakilas gik først til offentligheden med sine bekymringer for fire måneder siden. Men hans førstehåndskendskab til Facebooks overvågning af data videregivet til tredjeparter kaster nyt lys over den aktuelle skandale om, hvordan Cambridge Analytica kunne skaffe sig adgang.

Facebook har ikke specifikt kommenteret oplysningerne fra Parakilas, blot henvist til en blogpost fra november, hvor selskabet forsvarede sine dataudvekslingspraksisser som »væsentligt forbedrede« over de sidste fem år.

»Selv om det kan være rimeligt at kritisere, hvordan vi håndhævede vores udviklerpolitikker for mere end fem år siden, er det ikke korrekt at hævde, at vi var eller er ligeglade med privatlivets fred,« hedder det i blogposten.

Venners venner

38-årige Parakilas, som nu arbejder som produktchef for Uber, er navnlig kritisk over for Facebooks tidligere politik om at give udviklere adgang til personlige data fra venner til personer, der brugte dataindsamlingsapps på platformen – men uden disse venners viden eller udtrykkelige samtykke.

Denne funktion, kaldet friends permission, gav et enormt boost til eksterne softwareudviklere, der fra 2007 og frem fik Facebooks tilladelse til at oprette quizzer og spil – som det meget populære FarmVille – på selskabets sociale medieplatform.

Disse applikationer spredte sig de følgende år på Facebook – en periode, hvor de fleste brugere stadig tilgik platformen via laptops og computere frem for smartphones og tablets. Facebook fik 30 procent af betalingerne via apps, men gav til gengæld udviklerne mulighed for at få adgang til facebookbrugerdata.

Parakilas ved ikke, hvor mange virksomheder der fik friends permission-data, før adgangen igen blev lukket ned fra omkring midten af ​​2014. Han vurderer, at titusinder eller måske hundredtusinder kan have gjort det.

Ifølge Parakilas kan »et flertal af Facebooks brugere« have fået deres data høstet af appudviklere uden deres viden. Virksomheden har nu indført strengere protokoller for den grad af ​​adgang, tredjeparter kan have til data.

Retslige skridt mod udviklere eller udelukkelse af dem fra Facebook skete »yderst sjældent«, siger han: »Faktisk så jeg ikke Facebook gennemføre så meget som én revision af en udviklers systemer, i den tid jeg var der«.

Parakilas siger, at han ikke ved, hvorfor Facebook i midten af 2014 lukkede ned for udviklernes adgang til data fra profilers venner, men han har en teori om, hvad grunden kan være: Facebook kan have erkendt, at nogle af de større appudviklere havde akkumuleret egne guldgruber af værdifulde data.

»De var bange for, at de store appudviklere var i gang med at konstruere deres egne sociale grafer – at de selv kunne se alle de forbindelser, der var mellem brugerne,« siger han. »De var bange for, at de ville opbygge deres egne konkurrerende sociale netværk.«

Frustreret over manglende lydhørhed blandt cheferne forlod Parakilas Facebook sidst i 2012. Udslagsgivende for beslutningen om at dele sin viden blev de vidneforklaringer, som Facebooks advokater afgav til undersøgere fra den amerikanske kongres i 2017 om russiske forsøg på at påvirke udfaldet af forrige års præsidentvalg.

»De opfattede det som én stor pr-øvelse,« siger han. »De var kun interesseret i at redde dem selv og ikke at hjælpe landet med at løse et nationalt sikkerhedsproblem.«

© The Guardian og Information. Oversat af Niels Ivar Larsen