[논문 리뷰] Facebook Use of Sensitive Data for Advertising in Europe

José González-Cabañas, √Ångel Cuevas외 1명|arXiv (Cornell University)|2018. 02. 14.

Privacy, Security, and Data ProtectionSocial Sciences참고 문헌 19인용 수 16

한 줄 요약

이 연구는 EU 내에서 페이스북이 타겟 광고를 위해 민감한 개인정보를 어떻게 사용하는지 정량적으로 분석하며, 유럽의 페이스북 사용자 73%가 성적 지향, 정치적 견해 또는 건강과 같은 민감한 데이터와 연결된 관심사로 레이블링되어 있으며, 이는 유럽 연합 전체 인구의 약 40%에 해당할 수 있음을 밝혀냈다. 브라우저 확장 프로그램(FDVT)과 자연어 처리(NLP) 기반 분류 기법을 활용해 연구진은 민감한 광고 선호도를 식별하고, 악성 행위자가 개인을 탈동명화하는 데 최소 €0.015의 비용으로도 가능함을 입증했다.

ABSTRACT

The upcoming European General Data Protection Regulation (GDPR) prohibits the processing and exploitation of some categories of personal data (health, political orientation, sexual preferences, religious beliefs, ethnic origin, etc.) due to the obvious privacy risks that may be derived from a malicious use of such type of information. These categories are referred to as sensitive personal data. Facebook has been recently fined EUR 1.2M in Spain for collecting, storing and processing sensitive personal data for advertising purposes. This paper quantifies the portion of Facebook users in the European Union (EU) who are labeled with interests linked to sensitive personal data. The results of our study reveal that Facebook labels 73% EU users with sensitive interests. This corresponds to 40% of the overall EU population. We also estimate that a malicious third-party could unveil the identity of Facebook users that have been assigned a sensitive interest at a cost as low as EUR 0.015 per user. Finally, we propose and implement a web browser extension to inform Facebook users of the sensitive interests Facebook has assigned them.

연구 동기 및 목표

• 유럽 연합 내 사용자에게 민감한 개인정보(예: 성적 지향, 정치적 견해, 건강)와 연결된 광고 선호도가 얼마나 할당되는지 측정하는 것.
• 특히 곧 도입될 GDPR를 고려할 때, 페이스북이 민감한 데이터를 광고 목적으로 처리함으로써 발생하는 개인정보 위험을 평가하는 것.
• 사용자가 자신이 할당받은 민감한 관심사를 스스로 확인할 수 있도록 도와주는 브라우저 확장 프로그램(FDVT)을 개발하고 배포하는 것.
• 민감한 광고 타겟팅에 노출된 EU 시민 및 페이스북 사용자의 수를 정량화하고, 저비용 공격을 통한 신원 재식별 가능성을 평가하는 것.

제안 방법

• FDVT 브라우저 확장 프로그램을 통해 4,500명 이상의 페이스북 사용자에게 할당된 550만 건 이상의 광고 선호도를 수집하였다.
• 의미적 내용을 바탕으로 광고 선호도를 자동으로 민감한 것으로 분류하기 위해 자연어 처리(NLP) 기법을 적용하였다.
• 12명의 전문 평가자들이 126,000개의 고유 광고 선호도를 수작업으로 분류하여 NLP 기반 분류의 정확도를 검증하고 개선하였다.
• 페이스북 광고 매니저를 활용해 EU 및 각 회원국별로 민감한 광고 선호도를 타겟팅한 사용자 수를 쿼리하였다.
• 간단한 피싱 유사 공격을 시뮬레이션하여 민감한 관심사를 가진 사용자를 탈동명화하는 데 드는 비용을 추정하였으며, 저비용 재식별 위험을 입증하였다.

실험 결과

연구 질문

• RQ1 유럽 연합 내 페이스북 사용자의 몇 퍼센트가 민감한 개인정보와 연결된 광고 선호도를 할당받는가?
• RQ2 성적 지향, 정치적 견해 또는 건강 상태와 같은 민감한 개인정보는 페이스북의 광고 선호도를 통해 얼마나 정확하게 유추될 수 있는가?
• RQ3 악성 제3자가 민감한 광고 선호도를 할당받은 사용자를 재식별하는 데 드는 비용과 가능성은 어떠한가?
• RQ4 페이스북의 현재 광고 타겟팅 시스템은 GDPR 및 국가 개인정보 보호법 위반 가능성이 있는가?

주요 결과

• 유럽 연합 내 페이스북 사용자 73%가 민감한 개인정보와 연결된 광고 선호도를 최소 한 개 이상 할당받으며, 이는 전체 EU 인구의 약 40%에 해당한다.
• 스페인 개인정보 보호국은 이미 허락 없이 민감한 데이터를 처리한 혐의로 페이스북에 €120만 유로의 벌금을 부과하여 이러한 데이터의 상업적 이용이 실제로 이루어지고 있음을 확인했다.
• 악성 제3자는 간단한 피싱 유사 공격을 통해 민감한 관심사를 가진 사용자를 최소 €0.015의 비용으로도 탈동명화할 수 있다.
• 이 연구는 '동성애' 또는 '공산주의'와 같은 광고 선호도가 명시적인 사용자 동의 없이도 매우 민감한 개인적 특성을 드러낼 수 있음을 밝혀냈다.
• 연구는 페이스북의 광고 타겟팅 시스템이 특별 범주에 속하는 개인정보에 대한 GDPR 규정을 위반하면서 민감한 데이터의 상업적 이용을 가능하게 함을 입증했다.
• FDVT 브라우저 확장 프로그램은 사용자가 자신의 민감한 광고 선호도를 확인할 수 있도록 하여, 사용자 인식 향상과 데이터 투명성 향상에 실질적인 도구가 됐다.