Cet article est à lire attentivement, même si le ciblage publicitaire peut vous cerner, surtout si vous êtes un consommateur atypique, voire excentrique, vous n’êtes pas forcément dans un viseur. On se souviendra aussi de ces bases militaires en plein désert révélées par de simples applications de jogging. En matière d’analyse de données, en y mettant le temps et les moyens, presque tout est possible.
L’article est infernalement long, mais trop intéressant pour être élagué.
Rencontrez celui qui a enseigné aux agences de renseignement américaines comment tirer le meilleur parti de l’écosystème des technologies publicitaires, « la plus grande entreprise de collecte d’informations jamais conçue par l’homme ».
En 2019, un entrepreneur et technologue du gouvernement nommé Mike Yeagley a commencé à faire le tour de Washington, DC. Il a lancé un avertissement brutal à tous ceux qui voudraient l’écouter au sein de l’establishment de la sécurité nationale du pays : le gouvernement américain avait un problème avec Grindr.
Application de rencontres populaire, Grindr s’est appuyée sur les capacités GPS des smartphones modernes pour connecter des partenaires potentiels dans la même ville, le même quartier ou même le même bâtiment. L’application peut montrer en temps réel à quelle distance se trouve un partenaire potentiel, jusqu’à ses pieds.
Au cours de ses 10 années d’activité, Grindr a rassemblé des millions d’utilisateurs et est devenu un rouage central de la culture gay dans le monde entier.
Mais pour Yeagley, Grindr était autre chose : l’une des dizaines de milliers d’applications de téléphonie mobile conçues avec négligence qui ont divulgué d’énormes quantités de données dans le monde opaque des annonceurs en ligne . Ces données, Yeagley le savait, étaient facilement accessibles à toute personne possédant un peu de savoir-faire technique. Yeagley – un consultant en technologie alors âgé d’une quarantaine d’années qui avait travaillé dans et autour de projets gouvernementaux pendant presque toute sa carrière – a fait une présentation PowerPoint et est sorti pour démontrer précisément en quoi ces données constituaient un risque grave pour la sécurité nationale.
Comme il l’expliquait dans une succession de salles de conférence gouvernementales fades, Yeagley a pu accéder aux données de géolocalisation des utilisateurs de Grindr via un point d’entrée caché mais omniprésent : les échanges de publicité numérique qui diffusent les petites bannières publicitaires numériques en haut de Grindr et presque toutes les autres applications mobiles et sites Web financés par la publicité. Cela a été possible grâce à la manière dont l’espace publicitaire en ligne est vendu, via des enchères quasi instantanées dans le cadre d’un processus appelé enchères en temps réel. Ces enchères regorgeaient de potentiels de surveillance. Vous connaissez cette publicité qui semble vous suivre sur Internet ? Il vous suit de plusieurs manières. Dans certains cas, il s’agit de rendre votre position précise accessible en temps quasi réel aux annonceurs et à des personnes comme Mike Yeagley, spécialisé dans l’obtention d’ensembles de données uniques pour les agences gouvernementales.
En travaillant avec les données Grindr, Yeagley a commencé à dessiner des barrières géographiques (créant des limites virtuelles dans des ensembles de données géographiques) autour des bâtiments appartenant aux agences gouvernementales qui effectuent des travaux de sécurité nationale. Cela a permis à Yeagley de voir quels téléphones se trouvaient dans certains bâtiments à certains moments et où ils allaient ensuite. Il recherchait des téléphones appartenant à des utilisateurs de Grindr qui passaient leur journée dans des immeubles de bureaux du gouvernement. Si l’appareil passait la plupart de ses journées de travail au Pentagone, au siège du FBI ou dans le bâtiment de la National Geospatial-Intelligence Agency à Fort Belvoir, par exemple, il y avait de fortes chances que son propriétaire travaille pour l’une de ces agences. Puis il a commencé à examiner le mouvement de ces téléphones grâce aux données Grindr. Lorsqu’ils n’étaient pas à leur bureau, où allaient-ils ? Un petit nombre d’entre eux s’étaient attardés sur les aires d’autoroute de la région de Washington DC en même temps et à proximité d’autres utilisateurs de Grindr, parfois pendant la journée de travail et parfois pendant leur transit entre les installations gouvernementales. Pour les autres utilisateurs de Grindr, il pouvait déduire où ils vivaient, voir où ils voyageaient, et même deviner avec qui ils sortaient.
Les agences de renseignement tentent depuis longtemps et malheureusement d’éliminer les Américains LGBTQ de leurs effectifs, mais ce n’était pas l’intention de Yeagley. Il ne voulait pas que quiconque ait des ennuis. Aucune mesure disciplinaire n’a été prise contre un employé du gouvernement fédéral sur la base de la présentation de Yeagley. Son objectif était de montrer que, enfouie dans les données techniques apparemment inoffensives de tous les téléphones portables du monde, se cache une histoire riche, que les gens préféreraient peut-être garder sous silence. Ou du moins, pas diffusé dans le monde entier. Et que chacune de ces agences de renseignement et de sécurité nationale avait des employés qui diffusaient de manière imprudente, quoique inconsciente, des détails intimes de leur vie à quiconque savait où chercher.
Comme Yeagley l’a montré, toutes ces informations étaient disponibles à la vente, à bas prix. Et il ne s’agissait pas seulement de Grindr, mais plutôt de n’importe quelle application ayant accès à la localisation précise d’un utilisateur : autres applications de rencontres, applications météo, jeux. Yeagley a choisi Grindr parce qu’il générait un ensemble de données particulièrement riche et que sa base d’utilisateurs pouvait être particulièrement vulnérable. Une entreprise chinoise avait obtenu une participation majoritaire dans Grindr à partir de 2016, renforçant ainsi les craintes de Yeagley et d’autres à Washington selon lesquelles les données pourraient être utilisées à mauvais escient par un ennemi géopolitique. (Jusqu’en 1995, il était interdit aux hommes et aux femmes homosexuels d’avoir des autorisations de sécurité, en partie parce que les agents du contre-espionnage du gouvernement pensaient que leur identité pouvait les rendre vulnérables à l’influence d’un adversaire – une croyance qui persiste aujourd’hui.)
Mais le propos de Yeagley lors de ces séances ne consistait pas seulement à affirmer que les données publicitaires constituaient une menace pour la sécurité des États-Unis et la vie privée de ses citoyens. Il s’agissait de démontrer que ces sources représentaient également une énorme opportunité entre de bonnes mains et utilisées à bon escient. Lorsque l’on parle à un groupe d’agences de renseignement, il n’y a aucun moyen d’attirer leur attention comme de leur montrer un outil capable de révéler quand leurs agents visitent les aires de repos d’autoroute.
Mike Yeagley a vu à la fois les promesses et les pièges des données publicitaires, car il a joué un rôle clé en apportant les données publicitaires au gouvernement en premier lieu. Sa tournée de 2019 était une tentative de sensibilisation auprès des effectifs diversifiés et souvent cloisonnés du renseignement américain. Mais à ce moment-là, quelques recoins privilégiés du monde de l’intelligence connaissaient déjà très bien son travail et l’utilisaient activement.
Yeagley avait passé des années à travailler comme « éclaireur » technologique, recherchant les capacités ou les ensembles de données qui existaient dans le secteur privé et aidant à les intégrer au gouvernement. Il avait contribué à mettre au point une technique que certains de ses praticiens appelleraient en plaisantant « ADINT » – un jeu de mots sur le jargon de la communauté du renseignement pour désigner différentes sources de renseignement, comme le SIGINT (intelligence électromagnétique) devenu synonyme de l’essor du décryptage et du décryptage. les lignes téléphoniques sur écoute au XXe siècle et l’OSINT (intelligence open source) de l’ère Internet, dont ADINT était une forme. Le plus souvent, cependant, ADINT était connu dans les cercles gouvernementaux sous le nom de données adtech.
L’Adtech utilise l’élément vital du commerce numérique (les traces de données provenant de presque tous les téléphones mobiles) pour fournir des informations précieuses. Les fuites d’Edward Snowden en 2013 ont montré que, pendant un certain temps, les agences d’espionnage pouvaient obtenir des données des annonceurs numériques en exploitant des câbles à fibres optiques ou des points d’étranglement Internet. Mais dans le monde post-Snowden, de plus en plus de trafic de ce type était crypté ; La National Security Agency ne pouvait plus extraire les données des annonceurs par des écoutes clandestines. C’était donc une révélation – surtout compte tenu du tollé général suscité par les fuites de Snowden – que les agences pouvaient simplement acheter certaines des données dont elles avaient besoin directement auprès d’entités commerciales. Un consultant en technologie qui travaille sur des projets pour le gouvernement américain m’a expliqué la situation ainsi : « L’écosystème technologique publicitaire est la plus grande entreprise de collecte d’informations jamais conçue par l’homme. Et il n’a pas été construit par le gouvernement.
Toute personne possédant un iPhone ou un téléphone Android a reçu un identifiant publicitaire « anonymisé » par Apple ou Google. Ce numéro est utilisé pour suivre nos mouvements réels, notre comportement de navigation sur Internet, les applications que nous installons sur notre téléphone et bien plus encore. Des milliards de dollars ont été investis dans ce système par les plus grandes entreprises américaines. Face à un référentiel de données disponibles dans le commerce aussi riche et détaillé, les gouvernements du monde entier ont de plus en plus ouvert leurs portefeuilles pour acheter ces informations sur tout le monde, plutôt que de les pirater ou de les obtenir par le biais d’ordonnances judiciaires secrètes.
Voici comment cela fonctionne. Imaginez une femme nommée Marcela. Elle possède un téléphone Google Pixel sur lequel l’application Weather Channel est installée. Alors qu’elle se dirige vers la porte pour faire du jogging, elle voit un ciel couvert. Marcela ouvre donc l’application pour vérifier si les prévisions annoncent de la pluie.
En cliquant sur l’icône bleue de la Chaîne Météo, Marcela déclenche une frénésie d’activité numérique visant à lui proposer une publicité personnalisée. Cela commence par une entité appelée bourse de publicité, essentiellement un marché massif où des milliards d’appareils mobiles et d’ordinateurs avertissent un serveur centralisé chaque fois qu’ils disposent d’un espace publicitaire ouvert.
En moins d’un clin d’œil, l’application Weather Channel partage une multitude de données avec cet échange publicitaire, notamment l’adresse IP du téléphone de Marcela, la version d’Android qu’elle utilise, son opérateur, ainsi qu’un ensemble de données techniques sur la façon dont le le téléphone est configuré, jusqu’à quelle résolution la résolution de l’écran est définie. Le plus précieux de tous, l’application partage les coordonnées GPS précises du téléphone de Marcela et le numéro d’identification publicitaire pseudonymisé que Google lui a attribué, appelé AAID. (Sur les appareils Apple, cela s’appelle un IDFA.)
Pour le profane, un identifiant publicitaire est une chaîne de charabia, quelque chose comme bdca712j-fb3c-33ad-2324-0794d394m912. Pour les annonceurs, c’est une mine d’or. Ils savent que bdca712j-fb3c-33ad-2324-0794d394m912 possède un appareil Google Pixel avec l’application Nike Run Club. Ils savent que bdca712j-fb3c-33ad-2324-0794d394m912 fréquente souvent Runnersworld.com. Et ils savent que bdca712j-fb3c-33ad-2324-0794d394m912 convoite une nouvelle paire de chaussures de course Vaporfly. Ils le savent parce que Nike, Runnersworld.com et Google sont tous connectés au même écosystème publicitaire, tous visant à comprendre ce qui intéresse les consommateurs.
Les annonceurs utilisent ces informations pour façonner et déployer leurs publicités. Supposons que Nike et Brooks, une autre marque de chaussures de course, tentent d’atteindre les aficionados de la course à pied dans une certaine tranche de revenus ou dans certains codes postaux. Sur la base des énormes quantités de données qu’ils peuvent extraire de l’éther, ils pourraient constituer une « audience » – essentiellement une énorme liste d’identifiants publicitaires de clients connus ou soupçonnés d’être sur le marché des chaussures de course. Ensuite, lors d’une vente aux enchères instantanée, automatisée et en temps réel, les annonceurs indiquent à un échange publicitaire numérique combien ils sont prêts à payer pour atteindre ces consommateurs chaque fois qu’ils chargent une application ou une page Web.
Il existe certaines limites et garanties sur toutes ces données. Techniquement, un utilisateur peut réinitialiser le numéro d’identification publicitaire qui lui a été attribué (bien que peu de personnes le fassent ou sachent même qu’elles en ont un). Et les utilisateurs ont un certain contrôle sur ce qu’ils partagent, via les paramètres de leur application. Si les consommateurs n’autorisent pas l’application qu’ils utilisent à accéder au GPS, Ad Exchange ne peut pas extraire la position GPS du téléphone, par exemple. (Ou du moins, elles ne sont pas censées le faire. Toutes les applications ne suivent pas les règles, et elles ne sont parfois pas correctement vérifiées une fois dans les magasins d’applications.)
De plus, les plateformes d’enchères Ad Exchange effectuent une diligence raisonnable minimale sur les centaines, voire les milliers d’entités présentes sur leurs serveurs. Ainsi, même les enchérisseurs perdants ont toujours accès à toutes les données des consommateurs qui ont été transmises par téléphone lors de la demande d’enchère. Tout un modèle économique a été construit sur cette base : siphonner les données des réseaux d’enchères en temps réel, les conditionner et les revendre pour aider les entreprises à comprendre le comportement des consommateurs.
La géolocalisation est l’élément de données commerciales le plus précieux provenant de ces appareils. Comprendre le mouvement des téléphones est désormais une industrie multimilliardaire. Il peut être utilisé pour diffuser des publicités ciblées en fonction de l’emplacement, par exemple pour une chaîne de restaurants qui souhaite diffuser des publicités ciblées aux personnes à proximité. Il peut être utilisé pour mesurer le comportement des consommateurs et l’efficacité de la publicité. Combien de personnes ont vu une annonce et ont ensuite visité un magasin ? Et les analyses peuvent être utilisées pour les décisions de planification et d’investissement. Quel est le meilleur emplacement pour installer un nouveau magasin ? Y aura-t-il suffisamment de trafic piétonnier pour soutenir une telle entreprise ? Le nombre de personnes visitant un certain détaillant augmente-t-il ou diminue-t-il ce mois-ci, et qu’est-ce que cela signifie pour le cours de l’action du détaillant ?
Mais ce genre de données sert à autre chose. Son potentiel de surveillance est remarquable. Pourquoi? Parce que ce que nous faisons dans le monde avec nos appareils ne peut pas vraiment être anonymisé. Le fait que les annonceurs connaissent Marcela sous le nom de bdca712j-fb3c-33ad-2324-0794d394m912 lorsqu’ils la regardent se déplacer dans les mondes en ligne et hors ligne ne lui offre pratiquement aucune protection de sa vie privée. Dans l’ensemble, ses habitudes et routines lui sont uniques. Notre mouvement dans le monde réel est très spécifique et personnel pour nous tous. Pendant de nombreuses années, j’ai vécu dans un petit immeuble de 13 logements sans ascenseur à Washington, DC. J’étais la seule personne à me réveiller chaque matin à cette adresse et à me rendre dans du Wall Street Journal les bureaux . Même si je n’étais qu’un numéro anonyme, mon comportement était aussi unique qu’une empreinte digitale, même parmi des centaines de millions d’autres. Il n’y avait aucun moyen d’anonymiser mon identité dans un ensemble de données comme la géolocalisation. L’endroit où un téléphone passe la plupart de ses soirées est un bon indicateur de l’endroit où vit son propriétaire. Les annonceurs le savent.
Les gouvernements le savent aussi. Et Yeagley faisait partie d’une équipe qui tenterait de découvrir comment l’exploiter.
En 2015, une société appelée PlaceIQ a embauché Yeagley. PlaceIQ a été l’un des premiers acteurs du marché des données de localisation. Au milieu des années 2000, son fondateur, Duncan McCall, avait participé à une course automobile reliant Londres à la Gambie à travers le Sahara occidental jonché de mines. Il avait évité la pratique habituelle consistant à embaucher un guide bédouin coûteux pour assurer un passage en toute sécurité dans la région. Au lieu de cela, il a trouvé en ligne un itinéraire GPS que quelqu’un d’autre avait publié quelques jours plus tôt sur un forum. McCall a pu télécharger l’itinéraire, le charger dans son propre appareil GPS et suivre le même chemin en toute sécurité. Lors de cette traversée du Sahara occidental, McCall se souvient avoir imaginé ce qui allait devenir PlaceIQ pour capturer toutes les données géospatiales émises par les consommateurs et générer des informations. Au début, l’entreprise utilisait les données du site de partage de photos Flickr, mais PlaceIQ a finalement commencé à exploiter les échanges publicitaires mobiles. Ce serait le début d’un nouveau modèle économique, qui s’avérerait très efficace.
Yeagley a été embauché après que PlaceIQ ait obtenu un investissement de la branche de capital-risque de la CIA, In-Q-Tel. Tout comme In-Q-Tel a investi de l’argent dans de nombreux services de surveillance des médias sociaux, les données géospatiales ont également suscité l’intérêt d’In-Q-Tel. La CIA s’intéressait aux logiciels capables d’analyser et de comprendre les mouvements géographiques des personnes et des choses. Il voulait être capable de déchiffrer, par exemple, quand deux personnes essayaient de cacher qu’elles voyageaient ensemble. La CIA avait prévu d’utiliser le logiciel avec ses propres données exclusives, mais les agences gouvernementales de toutes sortes se sont finalement intéressées au type de données brutes dont disposaient des entités commerciales comme PlaceIQ : elles étaient disponibles via une simple transaction commerciale et étaient soumises à moins de restrictions sur les données brutes. utiliser au sein du gouvernement que les interceptions secrètes.
Après avoir acquis un ensemble de données sur la Russie, l’équipe a réalisé qu’elle pouvait suivre les téléphones dans l’entourage du président russe Vladimir Poutine. Les téléphones se déplaçaient partout où Poutine le faisait.
En travaillant là-bas, Yeagley s’est rendu compte que les données elles-mêmes pouvaient également être précieuses pour le gouvernement. PlaceIQ vendait bien des logiciels au gouvernement, mais n’était pas prêt à vendre ses données au gouvernement fédéral. Yeagley a donc contacté une autre société appelée PlanetRisk, l’une des centaines et centaines de petites startups ayant des liens avec le gouvernement américain disséminées dans les parcs de bureaux du nord de la Virginie. En théorie, un entrepreneur gouvernemental de défense offrait un environnement plus sûr qu’une entreprise civile comme PlaceIQ pour effectuer le genre de travail qu’il avait en tête.
PlanetRisk était à cheval entre le monde de l’entreprise et celui des marchés publics, créant des produits destinés à aider les clients à comprendre les dangers relatifs de divers endroits du monde. Par exemple, une entreprise souhaitant ouvrir un magasin ou un bureau quelque part dans le monde pourrait se tourner vers PlanetRisk pour analyser les données sur la criminalité, les troubles civils et les conditions météorologiques extrêmes en fonction de leurs variations géographiques.
PlanetRisk a embauché Yeagley en 2016 en tant que vice-président de la défense mondiale, essentiellement un poste de vente et de développement commercial. L’objectif était qu’il développe sa technologie adtech au sein de l’entrepreneur, qui pourrait tenter de la vendre à diverses agences gouvernementales. Yeagley a apporté avec lui des fonds gouvernementaux grâce à ses relations en ville dans les communautés de recherche sur la défense et le renseignement.
La première démonstration commerciale de PlanetRisk portait sur la Syrie : quantifier l’écrasement des réfugiés quittant la Syrie après des années de guerre civile et l’avancée des forces de l’Etat islamique. Grâce à un courtier de données commercial appelé UberMedia, PlanetRisk avait obtenu des données de localisation sur Alep, la ville syrienne assiégée qui avait été au centre de certains des combats les plus féroces entre les forces gouvernementales et les rebelles soutenus par les États-Unis. C’était une expérience pour comprendre ce qui était possible. Pourriez-vous même obtenir des informations de localisation sur des téléphones portables en Syrie ? Une zone de guerre n’est sûrement pas un point chaud pour la publicité mobile.
Mais à la grande surprise de l’entreprise, la réponse a été oui. Il y avait 168 786 appareils mobiles présents dans la ville d’Alep dans l’ensemble de données d’UberMedia, qui mesurait les mouvements des téléphones portables au cours du mois de décembre 2015. Et à partir de ces données, ils pouvaient suivre les mouvements des réfugiés à travers le monde.
La découverte de l’existence de nombreuses données en Syrie a constitué un tournant décisif. La publicité n’était plus simplement un moyen de vendre des produits ; c’était une façon d’examiner les habitudes et les routines de milliards de personnes. « Les appareils mobiles sont une bouée de sauvetage pour tout le monde, même pour les réfugiés », a déclaré Yeagley.
PlanetRisk avait échantillonné les données d’une gamme de courtiers de localisation (Cuebiq, X-Mode, SafeGraph, PlaceIQ et Gravy Analytics) avant de choisir UberMedia. (La société n’a aucun lien avec l’application de covoiturage Uber.) UberMedia a été lancé par Bill Gross, un vétéran de la publicité et de la technologie, qui a contribué à inventer des publicités ciblées par mots clés, le type de publicités qui apparaissent sur Google lorsque vous recherchez un terme spécifique. UberMedia avait débuté en tant que société de publicité aidant les marques à atteindre leurs clients sur Twitter. Mais au fil du temps, comme beaucoup d’autres entreprises dans ce domaine, UberMedia a réalisé qu’elle pouvait faire plus que simplement cibler les consommateurs avec de la publicité. Avec l’accès à plusieurs échanges publicitaires, il pourrait enregistrer les demandes d’enchères contenant des informations de géolocalisation, puis vendre ces données. Techniquement, cela allait à l’encontre des règles de la plupart des échanges publicitaires, mais il y avait peu de moyens de contrôler cette pratique. À son apogée, UberMedia collectait environ 200 000 demandes d’enchères par seconde sur les appareils mobiles du monde entier.
Tout comme UberMedia opérait dans une zone grise, PlanetRisk n’avait pas non plus été tout à fait franc avec UberMedia. Pour obtenir les données d’Alep, Yeagley a déclaré à UberMedia qu’il avait besoin de ces données dans le cadre du travail de PlanetRisk avec une organisation humanitaire, alors qu’en fait le client était un entrepreneur de la défense effectuant des travaux de recherche financés par le Pentagone. (Le PDG d’UberMedia apprendra plus tard la vérité sur la raison pour laquelle Mike Yeagley voulait ces données. Et d’autres membres de l’entreprise avaient leurs propres soupçons. « Fins humanitaires » était une phrase accueillie par un clin d’œil et un signe de tête dans l’entreprise parmi les employés qui savaient ou soupçonnaient ce que c’était. ce qui se passait avec les contrats de données de Yeagley.) Quoi qu’il en soit, UberMedia ne contrôlait pas ses clients de près. Il semblait plus désireux de réaliser une vente que préoccupé par les implications sur la vie privée de la vente des schémas de déplacement de millions de personnes.
Quand est venu le temps de produire une démo du produit commercial de suivi téléphonique de PlanetRisk, la fille de Yeagley, âgée de 10 ans, l’a aidé à trouver un nom. Ils ont appelé le programme Locomotive – un portemanteau de lieu et de motif . Le coût total de la construction d’une petite démonstration était d’environ 600 000 dollars, entièrement financé par quelques organismes de financement de la recherche du Pentagone. Au fur et à mesure que l’équipe PlanetRisk mettait Locomotive à l’épreuve et approfondissait les données, elle a découvert une histoire intéressante après l’autre.
Dans un cas, ils ont pu voir un engin faire des allers-retours entre la Syrie et l’Occident – une préoccupation potentielle étant donné l’intérêt de l’Etat islamique à recruter des Occidentaux, à les entraîner et à les renvoyer pour mener des attaques terroristes. Mais en y regardant de plus près, l’équipe de PlanetRisk a constaté que le comportement de l’appareil indiquait qu’il appartenait probablement à un travailleur humanitaire. Ils pourraient suivre l’appareil de cette personne jusqu’aux installations de l’ONU et à un camp de réfugiés, des lieux peu probables pour les combattants de l’État islamique.
Ils ont réalisé qu’ils pouvaient également suivre les dirigeants mondiaux grâce à Locomotive. Après avoir acquis un ensemble de données sur la Russie, l’équipe a réalisé qu’elle pouvait suivre les téléphones dans l’entourage du président russe Vladimir Poutine. Les téléphones se déplaçaient partout où Poutine le faisait. Ils ont conclu que les appareils en question n’appartenaient pas réellement à Poutine lui-même ; La sécurité de l’État russe et le contre-espionnage étaient meilleurs que cela. Au lieu de cela, ils pensaient que les appareils appartenaient aux chauffeurs, au personnel de sécurité, aux assistants politiques et à d’autres membres du personnel de soutien du président russe ; les téléphones de ces personnes étaient traçables dans les données publicitaires. En conséquence, PlanetRisk savait où allait Poutine et qui se trouvait dans son entourage.
Il y avait d’autres bizarreries. Dans un ensemble de données, ils ont trouvé un téléphone qui transitait continuellement entre les États-Unis et la Corée du Nord. L’appareil serait présent le dimanche dans une église coréenne aux États-Unis. Son propriétaire semblait travailler dans une usine GE, une importante société américaine possédant une propriété intellectuelle et une technologie importantes qui pourraient intéresser un régime comme Pyongyang. Pourquoi faisait-il des allers-retours entre les États-Unis et la Corée du Nord, ce qui n’est pas exactement connu comme un destination touristique? PlanetRisk a envisagé de soulever le problème soit auprès des agences de renseignement américaines, soit auprès de l’entreprise, mais a finalement décidé qu’ils ne pouvaient pas faire grand-chose. Et ils ne souhaitaient pas nécessairement que leur outil de localisation téléphonique soit largement connu. Ils ne sont jamais allés au fond des choses.
Plus alarmant encore, PlanetRisk a commencé à voir des preuves des propres missions de l’armée américaine dans les données de Locomotive. Les téléphones apparaîtraient dans les installations militaires américaines telles que Fort Bragg en Caroline du Nord et la base aérienne MacDill à Tampa, en Floride, qui abrite certains des opérateurs spéciaux américains les plus qualifiés du Joint Special Operations Command et d’autres unités du US Special Operations Command. Ils transiteraient ensuite par des pays tiers comme la Turquie et le Canada avant d’arriver dans le nord de la Syrie, où ils se regroupaient dans la cimenterie Lafarge abandonnée, à l’extérieur de la ville de Kobané.
L’équipe de PlanetRisk s’est rendu compte qu’il s’agissait d’opérateurs spéciaux américains convergeant vers une installation militaire inopinée. Des mois plus tard, leurs soupçons seraient publiquement confirmés ; Finalement, le gouvernement américain reconnaîtrait que l’installation était une base opérationnelle avancée pour le personnel déployé dans la campagne anti-EI.
Pire encore, grâce à Locomotive, ils obtenaient des données en temps quasi réel. Les données d’UberMedia étaient généralement mises à jour toutes les 24 heures environ. Mais parfois, ils ont vu un mouvement survenu 15 ou 30 minutes plus tôt. Voici quelques-unes des unités d’opérations spéciales les mieux entraînées au monde, opérant sur une base inopinée. Pourtant, leurs coordonnées précises et changeantes apparaissaient dans les données publicitaires d’UberMedia. Alors que Locomotive était un projet restreint destiné à un usage gouvernemental, les données d’UberMedia étaient disponibles à l’achat par quiconque pouvait trouver une excuse plausible. Il ne serait pas difficile pour les gouvernements chinois ou russe d’obtenir ce genre de données en créant une société écran avec une histoire de couverture, comme l’avait fait Mike Yeagley.
Si vous avez déjà autorisé, par exemple, une application météo à savoir où vous êtes, il y a de fortes chances qu’un journal de vos mouvements précis ait été enregistré dans une banque de données à laquelle des dizaines de milliers d’inconnus ont accès. Cela inclut les agences de renseignement.
Initialement, PlanetRisk échantillonnait les données pays par pays, mais l’équipe n’a pas tardé à se demander ce qu’il en coûterait pour acheter le monde entier. Le représentant commercial d’UberMedia a fourni la réponse : pour quelques centaines de milliers de dollars par mois, l’entreprise fournirait un flux mondial de tous les téléphones sur terre sur lesquels l’entreprise pourrait collecter. Les aspects économiques étaient impressionnants. Pour la communauté militaire et du renseignement, quelques centaines de milliers par mois était essentiellement une erreur d’arrondi : en 2020, le budget du renseignement s’élevait à 62,7 milliards de dollars. Voici un puissant outil de renseignement pour les cacahuètes.
La locomotive, dont la première version a été codée en 2016, a fait exploser les cuivres du Pentagone. Un responsable gouvernemental a exigé au milieu de la manifestation que le reste de la manifestation se déroule dans un SCIF, un établissement gouvernemental sécurisé où des informations classifiées pourraient être discutées. Le responsable ne comprenait pas comment ni ce que faisait PlanetRisk, mais supposait que cela devait être un secret. Un employé de PlanetRisk présent au briefing était intrigué. “Nous nous sommes dit, eh bien, c’est juste des choses que nous avons vues commercialement”, se souviennent-ils. “Nous avons simplement obtenu une licence pour les données.” Après tout, comment classer les données marketing ?
Les responsables gouvernementaux ont été tellement fascinés par cette capacité qu’il a été demandé à PlanetRisk de maintenir Locomotive silencieuse. Elles ne seraient pas classifiées, mais il serait demandé à l’entreprise de contrôler étroitement ses capacités afin de donner aux militaires le temps de profiter de l’ignorance du public à l’égard de ce type de données et d’en faire un programme de surveillance opérationnelle.
Et le même dirigeant se souvient avoir quitté une autre réunion avec un autre représentant du gouvernement. Ils étaient ensemble dans l’ascenseur lorsqu’un fonctionnaire leur a demandé : pourriez-vous découvrir qui trompe leur conjoint ?
Oui, je suppose que vous pourriez le faire, a répondu le responsable de PlanetRisk.
Mais Mike Yeagley ne durerait pas chez PlanetRisk.
Alors que l’entreprise cherchait à transformer Locomotive d’une démo en un produit réel, Yeagley a commencé à croire que son employeur adoptait la mauvaise approche. Il cherchait à créer une plateforme de visualisation de données pour le gouvernement. Encore une fois, Yeagley a pensé qu’il serait préférable de fournir les données brutes au gouvernement et de le laisser les visualiser comme bon lui semble. Plutôt que de gagner de l’argent grâce au nombre d’utilisateurs au sein du gouvernement qui achètent une licence logicielle, Mike Yeagley souhaitait simplement vendre les données au gouvernement moyennant un montant forfaitaire.
Yeagley et PlanetRisk se sont donc séparés. Il a emporté avec lui sa relation commerciale avec UberMedia. PlanetRisk s’est tourné vers d’autres secteurs de travail et a finalement été vendu en morceaux à d’autres entrepreneurs de la défense. Yeagley atterrirait dans une société appelée Aelius Exploitation Technologies, où il tenterait de transformer Locomotive en un véritable programme gouvernemental pour le commandement des opérations spéciales conjointes, la force d’opérations spéciales d’élite de chasse aux terroristes qui a tué Oussama ben Laden et Ayman Al Zarqawi et passé ces dernières années à démanteler l’EI.
La locomotive a été rebaptisée VISR, qui signifie Virtual Intelligence, Surveillance and Reconnaissance. Il serait utilisé dans le cadre d’un programme interagences et serait largement partagé au sein de la communauté du renseignement américain comme outil permettant de générer des pistes.
Au moment où Yeagley a averti diverses agences de sécurité à propos de Grindr en 2019, VISR avait également été utilisé au niveau national, du moins pendant une courte période, lorsque le FBI voulait tester son utilité dans des affaires pénales nationales. (En 2018, le FBI s’est retiré du programme.) La Defense Intelligence Agency, une autre agence qui avait accès aux données du VISR, a également reconnu avoir utilisé l’outil à cinq reprises pour examiner l’intérieur des États-Unis dans le cadre du renseignement. -enquêtes liées.
Mais VISR, à l’heure actuelle, n’est qu’un produit parmi d’autres qui vend des données adtech aux agences de renseignement. Le ministère de la Sécurité intérieure a adopté avec enthousiasme ce type de données. Trois de ses composantes – les douanes et la protection des frontières des États-Unis, l’immigration et l’application des douanes des États-Unis et les services secrets américains – ont acheté plus de 200 licences auprès de fournisseurs commerciaux de technologie publicitaire depuis 2019. Ils utiliseraient ces données pour trouver des tunnels frontaliers et traquer des personnes non autorisées. immigrants et essayer de résoudre les crimes nationaux. En 2023, un inspecteur général du gouvernement a réprimandé le DHS pour l’utilisation de l’adtech, affirmant que le département n’avait pas mis en place des mesures de protection de la vie privée adéquates et recommandant que les données cessent d’être utilisées jusqu’à ce que des politiques soient élaborées. Le DHS a déclaré à l’inspecteur général qu’il continuerait à utiliser les données. Adtech “est un contributeur important au processus d’enquête de l’ICE car, en combinaison avec d’autres informations et méthodes d’enquête, il peut combler les lacunes dans les connaissances et produire des pistes d’enquête qui autrement pourraient rester cachées”, a écrit l’agence en réponse.
Les agences de renseignement d’autres gouvernements ont également accès à ces données. Plusieurs sociétés israéliennes – Insanet , Patternz et Rayzone – ont construit des outils similaires à VISR et les vendent à des entités de sécurité nationale et de sécurité publique du monde entier, selon des informations. Rayzone a même développé la capacité de diffuser des logiciels malveillants via des publicités ciblées, selon Haaretz .
Autrement dit, rien de tout cela n’est une préoccupation abstraite, même si vous n’êtes qu’un simple citoyen. Je suis ici pour vous dire si vous avez déjà utilisé une application de rencontres qui souhaitait connaître votre position ou si vous avez déjà accordé à une application météo la permission de savoir où vous êtes 24h/24 et 7j/7, il y a de fortes chances qu’un journal détaillé de votre emplacement précis soit disponible. les schémas de déplacement ont été aspirés et enregistrés dans une banque de données quelque part à laquelle des dizaines de milliers de parfaits inconnus ont accès. Cela inclut les agences de renseignement. Cela inclut les gouvernements étrangers. Cela inclut les enquêteurs privés. Cela inclut même les journalistes curieux. (En 2021, un petit blog catholique conservateur nommé The Pillar a rapporté que Jeffrey Burrill, le secrétaire général de la Conférence des évêques catholiques des États-Unis, était un utilisateur régulier de Grindr. La publication a rapporté que Burrill « visitait des bars gays et des résidences privées tout en utilisant un application de connexion basée sur la localisation » et a décrit sa source comme « des enregistrements disponibles dans le commerce des données de signal d’application obtenues par The Pillar. »)
Si vous avez trompé votre conjoint au cours des dernières années et que vous avez négligé les paramètres de vos données de localisation, il y a de fortes chances qu’il y ait des preuves de cela dans les données disponibles à l’achat. Si vous vous êtes inscrit dans une cure de désintoxication pour patients hospitalisés, ces données se trouvent probablement dans une banque de données quelque part. Si vous dites à votre patron que vous avez pris un congé de maladie et que vous avez passé un entretien dans une entreprise rivale, cela pourrait être là. Si vous avez jeté une brique à travers une vitrine pendant les manifestations de George Floyd, eh bien, votre téléphone portable pourrait vous relier à ce vandalisme. Et si vous avez bu quelques pintes avant de provoquer un accident de voiture et que vous êtes parti sans appeler la police, les données racontant cette histoire existent probablement encore quelque part.
Nous avons tous le vague sentiment que nos opérateurs de téléphonie mobile disposent de ces données sur nous. Mais les forces de l’ordre doivent généralement obtenir une ordonnance du tribunal pour obtenir cela. Et il faut des preuves d’un crime pour obtenir une telle ordonnance. Il s’agit d’un autre type de cauchemar en matière de confidentialité.
J’ai rencontré un jour un ancien employé mécontent d’une entreprise en concurrence avec UberMedia et PlaceIQ. Il s’était enfui avec plusieurs gigaoctets de données de son ancienne entreprise. Il ne s’agissait que d’un petit échantillon de données, mais elles représentaient les mouvements complets de dizaines de milliers de personnes sur quelques semaines. Beaucoup de ces personnes ont pu être retracées jusqu’à une adresse résidentielle avec une grande certitude. Il m’a proposé les données pour que je puisse voir à quel point elles étaient invasives et puissantes.
Que puis-je faire avec cela – hypothétiquement ? J’ai demandé. En théorie, pourriez-vous m’aider à tracer des barrières géographiques autour des hôpitaux psychiatriques ? Des cliniques d’avortement ? Pourriez-vous regarder les téléphones qui se sont enregistrés dans un motel à midi et y sont restés moins de deux heures ?
Facilement, répondit-il.
Je n’ai jamais emprunté cette voie.
Source: https://www.wired.com/story/how-pentagon-learned-targeted-ads-to-find-targets-and-vladimir-putin/
