דליפת מידע של משתמשים ב-Facebook

Facebook – אתר הרשת החברתית המקוונת הגדולה בעולם.

מה קרה?

ב-מרץ 18 הודיעה החברה כי מידע אישי של כ-50 מיליון משתמשים דלף. ב-4 לאפריל הודיעה החברה כי המספר המוערך עלה לכ-87 מיליון.

• קיימברידג' אנליטיקס (CA), חברת ייעוץ פוליטי מאנגליה, שהייתה מעורבת בקמפיין נשיא ארצות הברית דונלד טראמפ בעת התמודדותו ב-2016, הצליחה להניח את ידיה על המידע האישי של משתמשי פייסבוק.
• החשיפה הובילה להדי ביקורת רבים על שימוש אסור במידע המשתמשים בשביל להשפיע על תוצאות הבחירות בארצות הברית.

איך זה נגרם:

1. ביוני 14 נחתם הסכם שיתוף מידע מסחרי בין SCL Elections (חברת האם של קיימברידג' אנליטיקס) לבין Global Science Research (ארגון בבעלות מרצה באוניברסיטת קיימברידג').
2. המרצה לפסיכולוגיה יוצר אפליקציית חידון בשם "אלו החיים הדיגיטליים שלך", במסגרתו מחלצים מידע ממבחני אישיות של משתמשים ונמסר ל-CA.
3. החברה מפרסמת את האפליקציה בשירות אמזון אינטרנטי ומשלמת למשתמשים עד 5 דולרים בשביל לעודד אותם להוריד אותה, כאשר השירות ניתן רק לאזרחי ארצות הברית בעלי חשבון פייסבוק.
4. תשובות המשתמשים מוצלבים עם מידע מהפרופיל האישי שלהם כדי לבסס פרופיל אישיותי ופרופיל פוליטי לכל משתמש.
5. תוך מספר חודשים, כ-320,000 משתמשי פייסבוק מורידים את האפליקציה ובכך חושפים את הפרופילים שלהם ושל חבריהם לרשת לאיסוף המידע – סך הכול כ-87 מיליון משתמשים.
6. המשתמשים המדוברים מחוברים לרשומות בחירות שהושגו על ידי SCL (חברה פרטית שעסקה במחקר התנהגותי ובאסטרטגיה תקשורתית) והופכים למטרה לפרסומות פוליטיות מותאמות ששירתו את הלקוחות של CA.

מה היה הנזק?

1. נפילת מניית פייסבוק בכ-60 מיליארד דולר (!) בעקבות חשיפת האירוע.
2. מנכ"ל ומייסד פייסבוק, מארק צוקרברג, נדרש להעיד בשני שימועים של הקונגרס האמריקאי בעקבות התקרית.
3. פתיחת חקירות כנגד פייסבוק במספר רב של מדינות – ביניהן בריטניה, אוסטרליה וארצות הברית.
4. הרשות להגנת הפרטיות בישראל הודיעה על פתיחת חקירה מנהלית כנגד החברה.

אילו לקחים ניתן להפיק מהאירוע?

1. אירועים של איבוד מידע או דליפתו עלולים לגבות מחיר יקר מאוד – כפי שהוכח בפרשת פייסבוק, אסונות דלף מידע עלולים לעלות לארגונים ולחברות מיליוני אם לא מיליארדי דולרים. בנוסף, הם עלולים להוביל להריסת התדמית ולהריסת המוניטין של הארגונים/החברות.
2. בעלי מניות, צרכנים, לקוחות ומנויים מטילים את האחריות של איבוד המידע על בעל המאגר – על אף שקיימברידג' אנליטיקס הייתה האחראית לדלף, בעיני בעלי המניות ובעיני המשתמשים נפלה האחריות בסופו של דבר על פייסבוק.
3. אפליקציות צד שלישי המשולבות עם אפליקציות מבוססות ענן יכולות להיות להוות סיכון ואף להיות מסוכנות – ארגונים חייבים לבחון מקרוב ולנתח אינטגרציות עם מידע בבעלות החברה, ועל ההשלכות שלהן על אבטחת המידע.