Hvis noget er gratis, så er du produktet.
Den læresætning har de fleste nok hørt, og vi ved godt, at Google, Facebook og Amazon lever af at snage i vores internetfærden og sælge data videre til annoncørerne.
Men at et af verdens største antivirusprogrammer også har solgt data om vores kliks på nettet, kommer nok bag på de fleste.
Ikke desto mindre har Avast Antivirus med 435 millioner brugere verden over gjort en stor forretning ud af at sælge data om brugernes webhistorik, shoppingvaner, lokationsdata og meget mere gennem et datterselskab.
Det skriver det amerikanske tech-site Motherboard, som har afdækket historien ved hjælp af lækkede dokumenter og kontrakter.
Avasts datterselskab, som stod for datasalget, hed JumpShot, og på listen over kunder, der købte dataen, finder man firmaer som McDonald’s, Google, Pepsi, Microsoft og Yelp.
Efter afsløringen om datahøsten er kommet frem, har Avast nu lukket firmaet ned, skriver flere amerikanske medier i dag.
Det er brugere, der har installeret et såkaldt browser-plugin fra Avast, der er ramt. I en periode er dataindsamlingen sket uden brugernes samtykke, og Avast har først i senere versioner af plugin'et bedt kunderne om samtykke, når de har installeret det.
”Alle søgninger, alle klik, alle køb…”
Et af de dataprodukter, som annoncørerne kunne hive ned fra Jumpshots varerhylder, hed ”All click feed”. I et tweet, der skulle lokke kunderne til, reklamerede firmaet med, at de indsamler ”Alle søgninger. Alle klik. Alle køb. På alle sider”.
For eksempel kunne data vise, hvad personer havde søgt på Google, hvordan de derefter klikkede sig videre til en butiks hjemmeside, og hvad de så endte med at købe.
Journalisterne bag historien fandt eksempler på, at plugin’et sladrede om brugernes færden på pornosider som YouPorn og Pornhub – herunder hvad de søgte på, og hvordan de var havnet på siden.
Det skal siges, at der er tale om anonymiseret data. Men eksperter, som Motherboard har talt med, vurderer, at det for en del af brugerne er muligt at de-anonymisere dem.
Blandt andet har The New York Times demonstreret, hvor nemt det var at spore, hvor præsident Donald Trump befandt sig. Det skete på baggrund af en secret service-agent, hvis telefons anonymiserede data sladrede om hans gøren og laden.
Lukker ned for dataindsamlingen
Avast har siden nyheden kom frem besluttet sig for at lukke søsterselskabet. Det annoncerede det tjekkiske sikkerhedsfirmas CEO, Ondrej Vlcek i går, hvor han også forklarede, at man startede dataindsamlingen i en tid, hvor man så anderledes på tingene:
- Vi startede Jumpshot i 2015, fordi vi ville udvide vores dataanalyseværktøjer videre fra vores kerneforretning, sikkerhed.
- Det var i en periode, hvor det blev klart, at cybersikkerhed i stigende grad ville blive et spil om Big Data. Vi mente, vi kunne tilbyde vores værktøjer og ressourcer på en måde, som var mere sikker end de utallige andre firmaer, der indsamler data.
Ekspert: Anonym data er OK
Pernille Transberg, der er dataetisk rådgiver i DataEthics, mener ikke, at man skal være bange for anonymiseret data. Men:
- Fejlen fra Avast er primært, at de ikke har gjort folk opmærksomme på det. For der er masser af virksomheder, der sælger anonymiserede data, og det er helt okay. Men det er etisk et problem, hvis man sælger anonymiseret data, uden at brugerne har vidst det.
Hun nævner, at den hollandske GPS-virksomhed TomTom for eksempel har solgt anonymiseret datasæt til politiet, som så kunne finde ud af, hvor de skulle sætte fartmålere op.
- Det synes jeg da er okay, siger Pernille Transberg.
Det afgørende spørgsmål er, om anonymiseringen af data har været god nok, og at vi får lavet ny lovgivning der forbyder de-anonymisering, siger hun.