Este artículo se publicó originalmente en nuestra revista Jot Down Smart número 33.
Estaban construidos como un agujero negro de datos. Y Facebook no solo lo sabía, sino que lo había diseñado así.
Dicen que es la filtración más importante desde Edward Snowden: Christopher Wylie explicó en el Guardian y el New York Times cómo Cambridge Analytica (CA) había generado perfiles psicográficos con los datos de ochenta y siete millones usuarios de Facebook para las campañas a favor del brexit y Donald Trump. Pero, a diferencia del espionaje de la NSA, les fue muy fácil y lo hicieron a la luz del día. Bastó con un quiz, el test de personalidad que el catedrático de Psicología en la Universidad de Cambridge Aleksandr Kogan puso en Facebook bajo el título This is Your Digital Life. Kogan pagó a doscientos setenta mil usuarios para que hicieran el test. Que venía con unos «Términos de usuario» que no leyeron donde ponía: «Si pinchas OK, nos das permiso para diseminar, transferir o vender tus datos».
Al descargar el test, Kogan consiguió acceso a sus contactos, su feed de noticias, las publicaciones de su muro, a sus posts y hasta a sus mensajes privados. Y también a los de sus amigos, aunque no hubieran hecho el test ni aceptado el contrato. Facebook ha calculado que la cifra de afectados podría ser de ochenta y siete millones de personas, trescientas personas por cada usuario que hizo el test. Solo que Kogan no se inventó la técnica ni hackeó la red social. Cientos de miles de empresas estaban haciendo lo mismo en Facebook años antes de que Kogan publicara su quiz en 2012. Y Facebook lo sabía.
Ya en 2009, numerosas asociaciones de derechos civiles denunciaron que el quiz era una trampa diseñada por granujas de marketing para vulnerar la privacidad del usuario y la de sus amigos. La mayoría de los test eran muy estúpidos: «¿Qué personaje de Star Wars eres?», «¿Eres Carrie o Samantha, Miranda o Charlotte?», «¿Qué color, perro, hamburguesa, superhéroe, rascacielos, teletubbie, salsa picante eres?». Pero tan populares y ubicuos que la CNN incluyó a los quizzeros en su lista de «doce clases de personas más insoportables de la red social».
La American Civil Liberties Union hizo campaña contra Facebook por dejar que los programadores externos se llevaran toneladas de datos, no solo de los que hicieron el test, sino también de sus contactos. La cuestión no es si Kogan tenía derecho o no a engañar a doscientos setenta mil usuarios y llevarse sus datos y los de sus millones de amigos. La cuestión es que Facebook le dejó hacerlo. Y lo hizo porque, como dicen los programadores, el agujero no era un bug sino una feature; no un error del programa sino una característica deliberada diseñada para atraer a sus verdaderos clientes, que no son los usuarios sino las mismas empresas de marketing a las que ahora acusa de robar.
Un, dos, tres, API
Como casi todas las plataformas, incluyendo Google Play, PlayStation o iTunes, Facebook tiene una API para desarrolladores. Sirve para que cualquiera pueda diseñar programas para que funcionen en la plataforma, sin tener que trabajar con los programadores de la casa. La API se ocupa de la integración de las apps, se interpone entre el código ajeno y el propio, al mismo tiempo la puerta y la muralla. Y esa API no es un código salvaje e incontrolable generado de manera aleatoria por fuerzas extrañas a nuestra capacidad de comprensión. Es un conjunto de funciones matemáticas habilitadas de manera deliberada por programadores extraordinarios al servicio de una de las empresas más ricas del mundo. En la naturaleza hay accidentes inesperados, pero no en el código de Facebook. Si Kogan pudo sustraer los datos íntimos de millones de personas a través de su Graph API v1.0 es porque se podía. Y si se podía es que estaba diseñada para hacerlo.
Si hubiese sido un fallo involuntario, Facebook tuvo tres años para corregirlo, especialmente después de las campañas de la Unión de Libertades Civiles y las denuncias repetidas en prensa. Tres años más tarde, la aplicación de Kogan pidió permiso para acceder al read mailbox, el buzón de mensajes privados de millones de usuarios y la API se lo dio, lo que es un completo disparate. Y siguió dándole permiso durante el año y medio que estuvo en el sistema, aunque el usuario hubiera hecho el test solo una vez (o ninguna). La pregunta que hay que hacerle a Facebook es: ¿cuántos otros hicieron lo mismo entre 2008 y 2015, cuando Facebook la sustituyó por la Graph API v2.0., que no es mucho mejor pero al menos no cede los datos de una persona a menos que haya autorizado la aplicación?
No me creo que en este garito se juegue
Zuckerberg ha dicho que el test de Kogan vulneró el acuerdo de desarrolladores que Kogan firmó con Facebook al subir la aplicación. Kogan dice que tampoco lo leyó, porque es decorativo. «Facebook no presta atención ni hace cumplir estos acuerdos. Te dicen que pueden hacer seguimiento y auditorías y que comprobarán tu código y te avisarán si has hecho algo que no está bien. Pero el test estuvo un año y medio entero operativo y jamás tuve noticias de ellos», le dijo en una entrevista a CBSN.
«Si no podemos proteger tus datos, no tenemos derecho a servirte», dijo Zuckerberg en su primera declaración posescándalo. Pero su empresa no solo no protegió los datos de sus usuarios, sino que diseñó una API que facilitaba el abuso de esos datos, y después lo tapó con un acuerdo para desarrolladores donde les decía que no vendieran datos, sabiendo que no lo iban a cumplir.
Dice Facebook que, de los ochenta y siete millones de afectados, setenta millones son estadounidenses. Hace tres semanas mandaron una carta a la Comisión Europea diciendo que los datos de 2,7 millones de europeos habían sido «compartidos inapropiadamente». Gran Bretaña tendría más de un millón de perfiles, teóricamente empujados al brexit a base de luz de gas. En España solo cuarenta y cuatro personas hicieron el test, con una onda expansiva de ciento treinta y siete mil.
Más interesante es la actividad en Indonesia y Filipinas, donde afectó a más de 1,2 millones de personas de cada país. Rodrigo Duterte, que ganó las elecciones en Filipinas hace casi un año, niega su relación con la empresa de microtargeting, pese a haber sido fotografiado comiendo con Alexander Nix, CEO de Cambridge Analytica, junto con los principales miembros de su equipo de campaña antes de ganar. «Si hubiera trabajado con esos idiotas habría perdido», declaró recientemente. Pero SCL Group, la casa matriz de Cambridge Analytica, presume de haber ganado numerosas elecciones en el sudeste asiático. Su fundador, Nigel Oakes, declaró una vez a la revista Marketing: «Usamos las mismas técnicas que Aristóteles y Hitler».
El fundador de Facebook ha prometido una auditoría de «todas las aplicaciones que tuvieron acceso a grandes cantidades de información antes de cambiar nuestra plataforma para reducir drásticamente el acceso a los datos en 2014». De momento, la red social ha suspendido a otras dos: CubeYou, por usar test de personalidad como reclamo para recoger datos personales, y la consultora política canadiense AggregateIQ, por trabajar con Cambridge Analytica. Hay cientos de miles de empresas ahí fuera que han usado las mismas tácticas. Facebook sabe quiénes son y qué han hecho, pero nosotros no.
Al inicio de la epoca digital, cuando se narraban historias épicas de trabajo y sacrificio de estos jóvenes que, por serlos infundían esperanzas, también creí que una nueva era se aproximaba, con la información al servicio de la humanidad. No eran viejos carcamanes con una potente arma entre sus manos, pero por lo visto han envejecido de repente y ahora solo apuntan al beneficio desmedido. Lo único que pude hacer para mostrar mi indignación fue borrarme de fb.Gracias por la divulgación.
No me apunté a fb porque no veía nada claro en qué consistía el negocio: ¿crear un espacio gigantesco gratuito para el uso y disfrute de los usuarios, sin nada a cambio?
Tiempo más tarde empezó a salir en qué consistía realmente su negocio…y naturalmente, continúo sin fb.
Muy bien explicado. Lo primero que hay que hacer después de saber todo esto es darte de baja en Facebook. No lo ponen fácil, pero es posible si buscas un poco en Google :). Pero baja definitiva. Y ojo con Instagram que también es de Zuckerberg. Los antiguos fundadores de Instagram que estaban en el equipo de Instagram ya se han largado por la trayectoria que está tomando esta red. Hay Apps para «conseguir seguidores gratis» que te copian los seguidores para su plataforma y luego los revenden…
La verdad es que Facebook ha tenido unos agujeros de seguridad enormes durante años y nunca los han sabido solventar. Este año les tocó pagar el pato gordo con Cambridge Analytica. Les está bien empleado.