Avast, компания, известная своими исследованиями в области безопасности и антивирусными приложениями, уже давно предлагает расширения Chrome, мобильные приложения и другие инструменты, направленные на повышение конфиденциальности.
Приложения Avast «блокируют надоедливые отслеживающие файлы cookie, которые собирают данные о вашей активности в Интернете» и не позволяют веб-сервисам «отслеживать вашу онлайн-активность». В глубине своей политики конфиденциальности Avast заявил, что собираемая информация будет «анонимной и обобщенной». В своей самой яростной риторике программное обеспечение Avast для настольных компьютеров заявило, что оно не позволит «хакерам зарабатывать деньги на ваших поисковых запросах».
По данным Федеральной торговой комиссии, все эти формулировки были предложены, когда Avast собирал информацию о браузерах пользователей с 2014 по 2020 год, а затем продавал ее более чем 100 другим компаниям через недавно закрытую организацию, известную как Jumpshot . Согласно предложенному недавнему распоряжению Федеральной торговой комиссии (PDF), Avast должна выплатить 16,5 миллионов долларов, которые «как ожидается, будут использованы для возмещения ущерба потребителям», согласно заявлению FTC . Avast также будет запрещено продавать данные о будущих просмотрах, компания должна будет получить явное согласие на сбор данных в будущем, уведомлять клиентов о предыдущих продажах данных и внедрить «комплексную программу конфиденциальности» для устранения предыдущего поведения.
В запросе на комментарий компания Avast предоставила заявление, в котором отметила закрытие компанией Jumpshot в начале 2020 года. «Мы привержены нашей миссии по защите и расширению возможностей цифровой жизни людей. Хотя мы не согласны с обвинениями Федеральной торговой комиссии и оценкой фактов, мы рады разрешить этот вопрос и надеемся продолжить обслуживание наших миллионов клиентов по всему миру», — говорится в заявлении.
Данные были далеко не анонимными
В жалобе Федеральной торговой комиссии (PDF) отмечается, что после того, как в начале 2014 года Avast приобрела тогдашнего конкурента по антивирусам Jumpshot, компания переименовала компанию в продавца аналитики. В рекламе Jumpshot говорилось, что он предлагает «уникальную информацию» о привычках «более 100 миллионов онлайн-потребителей по всему миру». сайты конкурентов и даже отслеживать тех, кто посещает определенный URL-адрес».
Хотя Avast и Jumpshot утверждали, что из данных была удалена идентифицирующая информация, FTC утверждает, что этого «недостаточно». Предложения Jumpshot включали уникальный идентификатор устройства для каждого браузера, включенный в такие данные, как «Канал всех кликов», «Поиск плюс канал кликов». «Канал транзакций» и многое другое. В жалобе FTC подробно описывается, как различные компании будут приобретать эти каналы, часто с явной целью соединить их с собственными данными компании, вплоть до отдельных пользователей. Некоторые контракты Jumpshot пытались запретить повторную идентификацию пользователей Avast, но «эти запреты были ограниченными», отмечается в жалобе.
Связь между Avast и Jumpshot стала широко известна в январе 2020 года после того, как в отчетах Vice и PC Magazine выяснилось, что клиенты, в том числе Home Depot, Google, Microsoft, Pepsi и McKinsey, покупали данные у Jumpshot, как видно из конфиденциальных контрактов. Данные, полученные изданиями, показали, что покупатели могут приобретать данные, включая поиск на Картах Google, отдельные страницы LinkedIn и YouTube, порносайты и многое другое. «Это очень детализированные данные, и это отличные данные для этих компаний, потому что они относятся к уровню устройства с отметкой времени», — рассказал один из источников Vice.
В жалобе FTC содержится более подробная информация о том, как Avast на своих веб-форумах пыталась преуменьшить свое присутствие Jumpshot. Avast предположил, что Jumpshot предоставлялись только неагрегированные данные, и что во время установки продукта пользователи были проинформированы о сборе данных, чтобы «лучше понять новые и интересные тенденции». Ни одно из этих утверждений не подтвердилось, предполагает FTC. И собранные данные были далеко не безобидны, учитывая их повторно идентифицируемый характер:
Например, выборка всего из 100 записей из триллионов, сохраненных респондентами,
показала посещение потребителями следующих страниц: научная статья об исследовании симптомов
рака молочной железы; Объявление кандидатуры сенатора Элизабет Уоррен в президенты; курс CLE
по налоговым льготам; государственные должности в Форт-Мид, штат Мэриленд, с зарплатой более
100 000 долларов; ссылка (тогда неработающая) на середину заявки FAFSA (финансовая помощь);
маршруты на Google Maps из одного места в другое; детский
видеоролик на испанском языке на YouTube; ссылка на французский сайт знакомств, включая уникальный идентификатор участника; и косплей-
эротика.
В сообщении в блоге, сопровождающем это объявление , старший прокурор Федеральной торговой комиссии Лесли Фэйр пишет, что, в дополнение к двойственному характеру продуктов Avast для обеспечения конфиденциальности и обширному отслеживанию Jumpshot, Федеральная торговая комиссия все чаще рассматривает данные о просмотре как «высоко конфиденциальную информацию, требующую максимальной осторожности». «Данные о веб-сайтах, которые посещает человек, — это не просто еще один корпоративный актив, открытый для беспрепятственной коммерческой эксплуатации», — пишет Fair.
Члены комиссии FTC проголосовали со счетом 3:0 за рассмотрение жалобы и принятие предложенного соглашения о согласии. Председатель Лина Хан вместе с членами комиссии Ребеккой Слотер и Альваро Бедойя опубликовали заявление по поводу своего голосования.
Со времени жалобы Федеральной торговой комиссии и бизнеса Jumpshot компания Avast была приобретена Gen Digital , фирмой, в которую входят Norton, Avast, LifeLock, Avira, AVG, CCLeaner и ReputationDefender, а также другие компании, занимающиеся безопасностью.
Раскрытие информации: Condé Nast, материнская компания Ars Technica, получила данные от Jumpshot до ее закрытия.