LinkedIniä syytetään salaisesta selainten skannaamisesta 'Browsergate'-tutkimuksessa
Tutkimus, jota nykyään kutsutaan laajalti nimellä "Browsergate", on esittänyt vakavia syytöksiä LinkedIniä vastaan. Ammattilaisverkostoitumisalustaa syytetään käyttäjien asennettujen selainlaajennusten salaisesta skannaamisesta ja laajamittaisesta laitetietojen keräämisestä ilman käyttäjän suostumusta tai asianmukaista mainintaa tietosuojakäytännössä. Jos väitteet osoittautuvat paikkansapitäviksi, kyseessä voisi olla yksi merkittävimmistä yritysten tiedonkeruuseen liittyvistä kohuista, johon suuri kuluttaja-alusta on koskaan joutunut.
Syytökset keskittyvät kahteen tiettyyn toimintaan: tuhansien asennettujen selainlaajennusten skannaamiseen sekä 48 erillisen laiteominaisuuden keräämiseen käyttäjien laitteilta. Tutkimuksen mukaan nämä tiedot lähetetään LinkedInin palvelimille ja tiettävästi myös kolmansien osapuolten tietoturvayrityksille. Mittakaava on huomattava. Tutkimuksen uutisoinnissa viitattujen arvioiden mukaan jopa 405 miljoonaa käyttäjää maailmanlaajuisesti saattaa olla asian piirissä.
Mitä tietoja väitetysti kerätään ja miksi sillä on merkitystä
Huoli ulottuu yksinkertaista laitteen sormenjälkitunnistusta pidemmälle. Selainlaajennukset voivat paljastaa paljon henkilön tavoista, uskomuksista ja elämäntilanteesta. Henkilö, jolla on uskonnolliseen sisältöön, terveydenhoitoon, poliittiseen aktivismiin tai työnhakuun liittyviä laajennuksia, paljastaa käytännössä henkilökohtaisia tietojaan selainprofiilinsä kautta – usein tiedostamattaan.
Browsergate-syytökset ovat erityisen vakavia siksi, että väitetysti kerättyä dataa ei säilytetä eristyksissä. Tutkimuksen mukaan tiedot yhdistetään suoraan käyttäjien oikeisiin nimiin, työnantajiin ja ammattinimikkeisiin. Tämä yhdistäminen muuttaa näennäisesti anonyymit tekniset tiedot yksityiskohtaisiksi yksilöprofiileiksi, joihin on liitetty ammatillinen asiayhteys.
Tällä on merkitystä, koska LinkedIn on sosiaalisena alustana poikkeuksellisessa asemassa. Käyttäjät jakavat tyypillisesti oikeat henkilöllisyytensä, nykyiset työnantajansa, urataustansa ja ammatilliset verkostonsa. Kun tämä varmennettu henkilöllisyystieto yhdistetään salaa kerättyihin selainominaisuuksiin ja laajennusluetteloihin, syntyy profiili, jonka syvyys ylittää huomattavasti sen, mitä useimmat käyttäjät pitäisivät hyväksyttävänä alustan ilmoitettuun käyttötarkoitukseen nähden.
Sääntelyyn liittyvät vaikutukset GDPR:n ja digitaalisia markkinoita koskevan säädöksen kannalta
Tutkimus nostaa esiin tarkkoja kysymyksiä eurooppalaisten tietosuojamääräysten noudattamisesta. Yleisen tietosuoja-asetuksen mukaan henkilötietojen kerääminen ilman laillista perustetta ja selkeää käyttäjälle annettavaa tietoa on kiellettyä. Digitaalisia markkinoita koskeva säädös lisää velvoitteita Euroopan unionissa toimiville suurille alustoille.
Jos väitetyt tiedonkeruukäytännöt eivät käy ilmi LinkedInin tietosuojakäytännöstä, pelkästään tämä puute todennäköisesti herättäisi viranomaisten mielenkiinnon. Eurooppalaiset tietosuojaviranomaiset ovat osoittaneet valmiutensa tutkia suuria teknologiayrityksiä GDPR-rikkomusten vuoksi ja määrätä niille sakkoja, ja ilmoittamattoman käyttäytymisen seuranta on ollut toistuva valvontatoimenpiteiden kohde.
LinkedIn ei ole tätä kirjoitettaessa julkaissut yksityiskohtaista julkista vastausta, jossa se käsittelisi tutkimuksessa esitettyjä teknisiä väitteitä. Tämä hiljaisuus saattaa itsessään muodostua tekijäksi, jos viranomaiset päättävät ryhtyä toimenpiteisiin asiassa.
Mitä tämä tarkoittaa sinulle
Tavalliselle LinkedIn-käyttäjälle Browsergate-syytökset ovat käytännön muistutus siitä, että minkä tahansa alustan tiedonkeruukäytännöt saattavat ulottua paljon pidemmälle kuin mitä asetusvalikkojen tai tietosuojakäytännön tiivistelmiä lukemalla voisi päätellä.
Selainlaajennukset ovat erityisen huomiotta jäänyt reitti tiedonkeruulle. Useimmat ihmiset asentavat laajennuksia käytännöllisyyssyistä eivätkä enää pohdi, mitä tietoja nämä laajennukset saattavat yhteensä paljastaa heistä. Väite siitä, että LinkedIn aktiivisesti skannaa ja luetteloi näitä laajennuksia, viittaa siihen, että tavanomainen selausinfrastruktuuri voi muuttua tietolähteeksi tavoilla, joihin käyttäjät eivät ole antaneet suostumustaan.
Laitteen sormenjälkitunnistus, jossa yhdistetään useita laitteisto- ja ohjelmisto-ominaisuuksia yksilöllisen tunnisteen luomiseksi, on hyvin dokumentoitu tekniikka, jota käytetään laajasti verkossa. Se voi säilyä myös evästeiden tyhjentämisen tai VPN:n käytön jälkeen, koska se hyödyntää itse laitteen ominaisuuksia tallennettujen tunnisteiden sijaan. Tietoisuus tästä tekniikasta on ensimmäinen askel oman altistumisesi ymmärtämisessä.
Käytännön toimenpiteitä, joita kannattaa harkita:
- Tarkista ja auditoi asennetut selainlaajennuksesi säännöllisesti ja poista ne, joita et enää aktiivisesti käytä
- Tarkista selaimesi tietosuoja-asetukset ja harkitse, tarjoaako nykyinen selaimesi suojaa sormenjälkitunnistusta vastaan
- Lue ammatillisesti käyttämiesi alustojen tietosuojakäytännöt, erityisesti tiedonkeruuta ja kolmansien osapuolten tietojen jakamista koskevat osiot
- Seuraa käyttämiisi alustoihin liittyviä sääntelyuutisia, sillä valvontatoimenpiteet paljastavat usein tietoja, joita yritykset eivät itse tuo esille
Browsergate-tutkimus on edelleen käynnissä, ja on syytä seurata, vastaako LinkedIn asiaan perusteellisesti tai ryhtyvätkö viranomaiset toimenpiteisiin väitteiden johdosta. Riippumatta siitä, miten tämä tapaus ratkeaa, se havainnollistaa, että sen ymmärtäminen, mitä alusta kerää ja vastaako se sitä, mitä alusta ilmoittaa keräävänsä, on järkevä ja välttämätön osa minkä tahansa verkkopalvelun ammatillista käyttöä.
