Fra reklame til spionasje

En annonse lastes inn når du åpner en nettside eller en app. Det skjer hele tiden, uten at vi tenker over det. Men infrastrukturen som leverer målrettet reklame kan også brukes i operasjoner med spionvare.

En ny rapport fra Citizen Lab dokumenterer hvordan det israelske selskapet Discover-Tech utnytter kommersiell annonseinfrastruktur til å identifisere, profilere og nå personer som del av målrettete operasjoner.

Hvis relevante sårbarheter er til stede, kan spionvare deployeres uten at mottager må klikke eller laste ned noe.

De kanadiske forskerne analyserte omtrent fire milliarder annonsebud over fire måneder, knyttet til nærmere 200.000 apper og nettsider. I materialet finnes blant annet nettverk tilknyttet Stortinget, Digitaliseringsdirektoratet, Nasjonal kommunikasjonsmyndighet og politiet. Det ble også rapportert om aktivitet nær nordnorske militære installasjoner.

Det er viktig å understreke at rapporten ikke sier at de nevnte virksomhetene ble hacket eller var utvalgte mål. Den «æren» var forbeholdt nyhetsmediet Al Jazeera. Men studien dokumenterer et potensial som tidligere var teoretisk, og viser hvor langt annonseindustrien når. Også når det gjelder sikkerhetssensitive miljøer.

Evner kan kjøpes for penger

Spionvareindustrien utvikler verktøy for tilraning av tilgang til digitale enheter. Annonseindustrien har bygget en infrastruktur som kan identifisere og nå bestemte personer med stor presisjon. Hver for seg tjener de ulike formål. Sammen kan de blir ledd i en angrepskjede.

Det gjør noe med hva en angriper må evne å bygge selv. Kommersiell infrastruktur kan brukes til rekognosering, målretting og leveranse. Spesialisert teknologi gjennomfører selve kompromitteringen. Begge evnene kan kjøpes for penger. 

Gevinsten kan ta mange former, fra å skremme kritikere, kartlegge motstandere, drive industrispionasje og muliggjøre utpressing, til å understøtte statlige etterretningsoperasjoner på tvers av landegrenser.

Det betyr at data som samles inn for reklame, kan få verdi langt ut over markedsføring. Teknisk infrastruktur som durer gjennom hverdagen kan bli en del av operasjoner den aldri var bygget for. Personvern og cybersikkerhet er ikke to adskilte historier.

Kan ha inspirert

Såkalt dual-use teknologi er mat for kreative sjeler. Å holde den i tømmene er vanskelig fordi bruken er så mangesidig. Det påstås at hvis vi ser for snevert på regulering og sanksjonering så bommer vi, men ser vi for bredt, favner vi i praksis ingenting. Teknologien utvikles så fort at jussen tydeligvis ikke kan henge med.

Hvorvidt det er riktig skal jeg ikke stå til doms over. Men i akkurat dette tilfellet tar jeg meg friheten til å rope «bullshit». Dersom vi kun regulerer datainnsamling som et personvernspørsmål og spionvare som et sikkerhetsspørsmål, risikerer vi å overse hvordan det ene tilrettelegger og forsterker det andre.

Å forby eller sanksjonere en navngitt aktør kan være nødvendig, men det løser ikke det strukturelle problemet. Infrastrukturen og de kommersielle tjenestene består. Og oppmerksomheten Citizen Lab-rapporten har fått, kan utilsiktet ha inspirert flere til å tilby lignende tjenester.

Bør ta mer ansvar

Vi kan ikke lenger nøye oss med å spørre hva en teknologi er utviklet for, eller hva den har å si for sitt eget bruksområde. Vi må også spørre hva den kan brukes til når den kobles med andre tjenester.

Derfor bør norske personvern- og sikkerhetsmyndigheter i større grad vurdere risikoen i hele kjeden, også når det kommer til «ufarlige» saker som reklameinfrastruktur. Annonseindustrien bør også selv ta ansvar for hvordan infrastrukturen kan misbrukes.

 Det er ikke byggesteinene som bør bekymre oss mest. Det er hvordan de settes sammen.