Google DV360 กับวิกฤตข้อมูลส่วนบุคคลและความมั่นคงระดับชาติ
การสืบสวนเชิงลึกจาก WIRED เผยให้เห็นด้านมืดของระบบนิเวศการโฆษณาของ Google โดยเฉพาะแพลตฟอร์ม Display & Video 360 (DV360) ซึ่งเป็นเครื่องมือการตลาดระดับสูงที่เปิดโอกาสให้แบรนด์ยักษ์ใหญ่เข้าถึงข้อมูลที่ละเอียดอ่อนของชาวอเมริกันได้อย่างน่าตกใจ แม้ว่าทาง Google จะมีกฎระเบียบห้ามการกระทำดังกล่าวอย่างชัดเจนก็ตาม
ประเด็นที่น่ากังวลที่สุดคือการที่ข้อมูลเหล่านี้ถูกนำมาใช้ในการทำ Micro-targeting หรือการระบุกลุ่มเป้าหมายแบบเจาะจงรายบุคคล โดยอาศัยข้อมูลสุขภาพ สถานะทางการเงิน และตำแหน่งหน้าที่การงาน ซึ่งผู้เชี่ยวชาญเตือนว่าหากนำข้อมูลเหล่านี้ไปผสมผสานกับชุดข้อมูลอื่น จะสามารถระบุตัวตนที่แท้จริงของบุคคลนั้นได้อย่างง่ายดาย
กลไกการทำงานของ DV360 และช่องโหว่ของข้อมูล
DV360 แตกต่างจาก Google Ads ทั่วไปตรงที่เป็นแพลตฟอร์มแบบชำระเงินที่เน้นกลุ่มบริษัทที่มีงบโฆษณาสูงกว่า 50,000 ดอลลาร์ต่อเดือน โดยระบบอนุญาตให้ผู้ใช้งานสามารถอัปโหลด Audience Segments หรือกลุ่มเป้าหมายที่สร้างขึ้นเอง หรือซื้อจาก Data Broker (นายหน้าซื้อขายข้อมูล) เพื่อใช้ในการยิงโฆษณา
จากการตรวจสอบพบว่ามีกลุ่มเป้าหมายที่ละเมิดนโยบายของ Google จำนวนมาก เช่น รายชื่อผู้ที่มีแนวโน้มป่วยเป็นโรคหัวใจ ผู้ป่วยโรคหอบหืด หรือแม้แต่ผู้ที่ใช้ยาควบคุมพิเศษอย่าง Ambien และกลุ่มผู้ใช้ยาโอปิออยด์ (Opioids) ซึ่งมีจำนวน ID อุปกรณ์เคลื่อนที่สูงถึง 140 ล้านรายการ
ภัยคุกคามต่อความมั่นคงระดับชาติ
นอกเหนือจากเรื่องสุขภาพ ข้อมูลที่หลุดรอดออกมายังรวมถึงรายชื่อเจ้าหน้าที่รัฐระดับสูงในสหรัฐฯ ตั้งแต่ผู้พิพากษา บุคลากรทางทหาร ไปจนถึงเจ้าหน้าที่ในสภาคองเกรส และผู้ทำงานในหน่วยงานด้านความมั่นคงระดับชาติ รวมถึงพนักงานในบริษัทที่ผลิตเทคโนโลยีป้องกันประเทศ เช่น ระบบขีปนาวุธและระบบเข้ารหัสลับทางทหาร
Justin Sherman ซีอีโอของ Global Cyber Strategies ระบุว่าข้อมูลเหล่านี้คือ "ขุมทรัพย์" สำหรับศัตรูต่างชาติ เพราะสามารถนำไปใช้ในการจารกรรมข้อมูล การแบล็กเมล์ หรือการคุกคามบุคคลสำคัญที่มีสิทธิ์เข้าถึงความลับทางราชการได้
| ประเภทข้อมูลที่รั่วไหล | กลุ่มเป้าหมายที่ถูกระบุ | ความเสี่ยงที่อาจเกิดขึ้น |
|---|---|---|
| ข้อมูลสุขภาพ | ผู้ป่วยโรคเรื้อรัง, ผู้ใช้ยาควบคุม | การเลือกปฏิบัติ, การละเมิดความเป็นส่วนตัวขั้นรุนแรง |
| สถานะทางการเงิน | ผู้ที่กำลังล้มละลาย, ผู้มีหนี้สินระยะยาว | การถูกหลอกลวงทางการเงิน, การกดขี่ทางเศรษฐกิจ |
| ตำแหน่งงาน/ความมั่นคง | เจ้าหน้าที่ทหาร, ผู้ตัดสินใจด้านความมั่นคง | การจารกรรม, การแบล็กเมล์, ภัยคุกคามระดับชาติ |
Real-Time Bidding (RTB) และการติดตามที่ไม่อาจหยุดยั้ง
หัวใจของปัญหานี้อยู่ที่ระบบ Real-Time Bidding (RTB) หรือการประมูลพื้นที่โฆษณาแบบเรียลไทม์ ซึ่งจะมีการส่งข้อมูลผู้ใช้ (Bid-stream data) ออกไปให้ผู้ประมูลจำนวนมากในเสี้ยววินาที แม้ Google จะอ้างว่ามีการลบ Mobile ID (รหัสระบุตัวตนของอุปกรณ์) ออกก่อนส่งให้บริษัทจากจีน แต่ผู้เชี่ยวชาญชี้ว่าเมื่อบริษัทเหล่านั้นชนะการประมูลและโฆษณาถูกแสดงผล พวกเขาสามารถใช้เทคนิคดึงข้อมูล IP Address และรายละเอียดอุปกรณ์เพื่อระบุตัวตนย้อนกลับได้อยู่ดี
นอกจากนี้ยังมีรายงานว่าบริษัทสอดแนมจากอิสราเอล เช่น Rayzone และ Patternz ได้ใช้ช่องโหว่ของระบบ RTB เพื่อเข้าถึงข้อมูลผู้ใช้ของ Google โดยตรง ซึ่งตอกย้ำว่าการกำกับดูแลตนเองของ Google นั้นไม่เพียงพอต่อการป้องกันภัยคุกคามในปัจจุบัน
ข้อเท็จจริงสำคัญ
- DV360 อนุญาตให้ใช้ Audience Segments จากภายนอก ซึ่งนำไปสู่การระบุกลุ่มเป้าหมายที่ละเอียดอ่อน เช่น ผู้ป่วยโรคเรื้อรังและเจ้าหน้าที่ความมั่นคง
- Mobile ID แม้จะดูเหมือนเป็นข้อมูลนิรนาม แต่เมื่อรวมกับชุดข้อมูลอื่น (Data Enrichment) สามารถระบุตัวตนจริงของบุคคลได้
- RTB เป็นช่องทางหลักที่ทำให้ข้อมูลส่วนบุคคลไหลออกสู่บริษัทต่างชาติและบริษัทสอดแนม
- กฎหมาย PADFAA ของสหรัฐฯ ห้ามส่งข้อมูลที่สามารถระบุตัวตนได้ให้แก่ประเทศที่เป็นศัตรู แต่ระบบของ Google ยังถูกวิจารณ์ว่ามีช่องโหว่
- ผู้บริหารระดับสูงของ Google เคยยอมรับภายในว่าระบบ RTB สร้างความไม่ไว้วางใจให้กับผู้ใช้งาน
คำถามที่พบบ่อย
DV360 แตกต่างจาก Google Ads อย่างไร?
Google Ads เป็นเครื่องมือฟรีสำหรับบุคคลและธุรกิจขนาดเล็ก แต่ DV360 เป็นแพลตฟอร์มระดับองค์กรที่มีค่าใช้จ่ายสูง เน้นกลุ่มลูกค้าที่ใช้งบโฆษณามหาศาลและมีความสามารถในการจัดการข้อมูลกลุ่มเป้าหมายที่ซับซ้อนกว่า
Mobile ID คืออะไร และทำไมถึงอันตราย?
Mobile ID คือรหัสตัวอักษรและตัวเลขที่กำหนดให้กับอุปกรณ์เคลื่อนที่แต่ละเครื่อง แม้จะไม่มีชื่อระบุ แต่ Data Broker สามารถนำรหัสนี้ไปจับคู่กับประวัติการท่องเว็บ การใช้แอป และข้อมูลสาธารณะเพื่อระบุว่าเจ้าของเครื่องคือใคร
ทำไมข้อมูลเจ้าหน้าที่รัฐถึงกลายเป็นปัญหาความมั่นคง?
เพราะข้อมูลที่ระบุว่าใครทำงานในตำแหน่งสำคัญด้านความมั่นคง หรือใครมีปัญหาทางการเงินและสุขภาพ สามารถถูกนำไปใช้เป็นเครื่องมือในการข่มขู่ แบล็กเมล์ หรือวางแผนจารกรรมข้อมูลลับของรัฐบาลได้
Google มีมาตรการป้องกันอย่างไรในปัจจุบัน?
Google ระบุว่าได้นำระบบตรวจสอบบริษัทที่มีความเชื่อมโยงกับจีนมาใช้ และทำการลบข้อมูลระบุตัวตนรวมถึงตำแหน่งที่ตั้งที่ละเอียดออกจากการประมูลโฆษณา (RTB) สำหรับบริษัทเหล่านั้น รวมถึงมีการจ้างบริษัทภายนอกมาตรวจสอบการทำงานเป็นระยะ
ทำไมการลบข้อมูลในขั้นตอนประมูล (RTB) ถึงไม่ได้ผล?
ผู้เชี่ยวชาญระบุว่า เมื่อผู้โฆษณาชนะการประมูลและโฆษณาถูกส่งไปที่เครื่องผู้ใช้ พวกเขาสามารถเก็บข้อมูลทางเทคนิค เช่น IP Address และ Device Fingerprint ซึ่งเพียงพอที่จะนำไปใช้ระบุตัวตนย้อนกลับได้
