Dodanie recenzji restauracji, hotelu czy zakupionego produktu wydaje się niewinną aktywnością. Nowe badanie pokazuje jednak, że nawet tak pozornie nieistotne informacje, jak długość publikowanych opinii, mogą pomóc w odtworzeniu sieci kontaktów użytkownika. Zdobyta w ten sposób wiedza mogłaby zostać wykorzystana przez cyberprzestępców do przygotowania bardziej wiarygodnych i skuteczniejszych ataków phishingowych.
Autorzy badania opublikowanego w czasopiśmie „Information Systems Research” opracowali model, który na podstawie wzorców aktywności w serwisach z recenzjami próbował ustalić, które osoby mogą się znać. Analizował między innymi miejsca oceniane przez użytkowników oraz długość zamieszczanych przez nich komentarzy.
Badaniem kierowała Yan Leng z University of Texas at Austin. W zespole znaleźli się także Yijun Chen z University of Melbourne oraz naukowcy z Oxford University, Chinese University of Hong Kong i University of Sydney.
Algorytm odtworzył ponad 60 procent powiązań
Podstawą badania było założenie, że nasze zachowania w Internecie są częściowo kształtowane przez ludzi, z którymi utrzymujemy kontakty. Jeśli znajomi publikują długie i szczegółowe recenzje, inni członkowie tej samej grupy mogą zacząć robić podobnie. Możliwy jest również odwrotny efekt – użytkownik może pisać krócej, uznając, że inni powiedzieli już wszystko, co istotne. W obu przypadkach wpływ znajomych może pozostawiać ślady widoczne w danych.
Naukowcy stworzyli algorytm nazwany Homophilous Network Learning, w skrócie HNL. Nie sprawdza on bezpośrednio, kto kogo obserwuje lub ma na liście znajomych. Zamiast tego analizuje zachowania użytkowników i próbuje ustalić, jaka ukryta sieć kontaktów najlepiej tłumaczy występujące między nimi podobieństwa.
Model przetestowano na publicznie dostępnych danych serwisu Yelp z dwóch amerykańskich aglomeracji – Nowego Orleanu i Pittsburgha. Pierwszy zbiór obejmował 2065 autorów recenzji i 6094 firmy, a drugi 2234 użytkowników oraz prawie 16 tys. przedsiębiorstw. Ponieważ Yelp udostępnia także informacje o znajomych poszczególnych użytkowników, naukowcy mogli porównać przewidywania algorytmu z ich rzeczywistymi powiązaniami.
Gdy model błędnie uznawał za znajomości 10 procent nieistniejących połączeń, był jednocześnie w stanie prawidłowo wskazać około połowy rzeczywistych relacji w obu miastach. Po dopuszczeniu 20-procentowego poziomu fałszywych wskazań skuteczność w wykrywaniu faktycznych kontaktów przekraczała 60 procent. Wyniki okazały się lepsze niż w przypadku prostych analiz korelacji i kilku innych modeli komputerowych.
Samo ustalenie, kto może należeć do kręgu znajomych danej osoby, nie oznacza jeszcze, że doszło do przestępstwa. Taka informacja daje jednak oszustowi możliwość przygotowania znacznie bardziej przekonującej wiadomości. Zamiast wysyłać przypadkowy e-mail, może podszyć się pod zaufaną osobę i nawiązać do prawdziwych relacji ofiary. To właśnie istota tzw. spear-phishingu, czyli ataku precyzyjnie przygotowanego z myślą o konkretnym odbiorcy.
Na podstawie danych o stratach zgłaszanych do prowadzonego przez FBI Internet Crime Complaint Center badacze oszacowali również potencjalną opłacalność takich działań. W modelu dotyczącym Pensylwanii przewidywana stopa zwrotu z ataku wzrosła ze 109 procent przy 500 próbach podszycia się pod inne osoby do 1098 procent przy 10 tys. prób. Wyniki te nie opisują rzeczywiście przeprowadzonych ataków, lecz pokazują, jak znajomość sieci kontaktów może zmienić ekonomię phishingu.
Statystyczny „szum” może utrudnić identyfikację znajomych
Naukowcy zaproponowali także dwa sposoby ograniczenia ryzyka. Oba wykorzystują tzw. prywatność różnicową, czyli metodę polegającą na dodawaniu do udostępnianych danych odpowiednio dobranych, losowych zmian. Mają one utrudnić identyfikację konkretnych osób i ich relacji, zachowując jednocześnie przydatność całego zbioru do analizowania ogólnych tendencji.
W pierwszej metodzie losowe odchylenia dodawano bezpośrednio do informacji o długości recenzji. Druga obejmowała najpierw modyfikację odtworzonej przez algorytm sieci kontaktów, a następnie wygenerowanie na jej podstawie chronionego zestawu danych.
Obydwa rozwiązania ograniczyły zdolność modelu do prawidłowego rozpoznawania relacji między użytkownikami. Jednocześnie większość danych dotyczących długości recenzji pozostała użyteczna. W jednym z testowanych wariantów około trzech czwartych wartości nie zmieniło się w ogóle, a w 95 procentach przypadków różnica nie przekraczała około 15 słów.
Nawet stosunkowo niewielkie modyfikacje sprawiły, że symulowane mniejsze kampanie phishingowe przestawały być opłacalne. W przypadku większych operacji potencjalne zyski również wyraźnie spadały, choć nie zawsze znikały całkowicie. Skuteczniejszy w utrudnianiu pracy algorytmowi okazał się bardziej złożony mechanizm pośredni. Metoda bezpośrednia byłaby natomiast łatwiejsza do zastosowania przez platformy.
Problem może dotyczyć nie tylko serwisu Yelp
Autorzy badania podkreślają, że podobne zagrożenie może występować również na innych platformach, na których użytkownicy publicznie oceniają produkty, publikują komentarze lub reagują na treści. Wskazują między innymi Amazon, YouTube i Groupon.
W badaniu sprawdzano jedynie, ile informacji można wywnioskować z długości recenzji publikowanych na Yelp. Naukowcy nie badali pod tym kątem innych serwisów ani takich danych jak oceny, zakupy, komentarze czy polubienia. Uważają jednak, że także one mogą zawierać wzorce pozwalające pośrednio odtworzyć kontakty między użytkownikami.
Wyniki nie oznaczają, że publikowanie opinii automatycznie naraża jej autora na oszustwo. Pokazują jednak, że pojedyncze informacje, które same w sobie wydają się mało znaczące, po zestawieniu i przeanalizowaniu przez zaawansowane algorytmy mogą ujawnić znacznie więcej, niż zamierzał udostępnić użytkownik.
