DecryptAds expõe quem lucra com anúncios que seguem a tua localização

O mercado da publicidade digital é omnipresente, mas continua quase opaco. Sabemos que anúncios servem para muito mais do que vender ténis, de inferir idade e género a extrair localização GPS e vendê-la a governos. Mas quem já tentou seguir o rasto técnico destes esquemas esbarra sempre no mesmo muro: os dados estão espalhados pela web, em ficheiros obscuros que ninguém consulta e que não se conseguem pesquisar em conjunto.

O DecryptAds quer rebentar com esse muro. É uma ferramenta pública que agrega, em escala absurda, três tipos de ficheiros quase invisíveis para o comum utilizador: ads.txt e app-ads.txt, onde sites e apps listam os sistemas de publicidade com que trabalham, e sellers.json, onde as bolsas de anúncios publicam os vendedores com quem negoceiam. Tudo isto já estava tecnicamente “no aberto”, mas inacessível na prática. Agora está num motor de busca gigante, consultável por qualquer pessoa.

Zach Edwards, responsável de produto e investigação do DecryptAds, diz estar farto de ver o debate preso em achismos sobre “centenas de corretores de dados” a vender localização e outros segmentos sensíveis. A ideia é simples: permitir que qualquer um procure um site, app, domínio ou IP e tenha logo uma fotografia dos intermediários presentes e de onde mais é que esses mesmos intermediários aparecem. Para quem investiga como os anúncios alimentam esquemas de vigilância, isto reduz trabalho de semanas a minutos.

A ferramenta ataca de frente o modelo de real-time bidding (RTB), em que empresas licitam em milissegundos o direito a mostrar-te um anúncio. Cada leilão despeja informação sobre o teu dispositivo, comportamento e, muitas vezes, localização. Já vimos este sistema ser usado por empresas israelitas para monitorizar milhares de milhões de telemóveis e por redes de SDK em apps populares que depois alimentavam o governo dos EUA com dados de localização. É o lado sujo do mesmo motor que também suporta fenómenos como preços dinâmicos e personalização agressiva.

O DecryptAds afirma já ter indexado mais de 284 milhões de ficheiros ads.txt, 183 milhões de app-ads.txt e 201 milhões de sellers.json. Não são só números gordos para apresentação em conferência. A base de dados monitoriza alterações em sellers.json, o que pode ajudar a detectar padrões curiosos, como grupos de apps silenciosamente banidas de várias bolsas sem qualquer explicação pública. Para jornalistas e reguladores, isto é um mapa de calor do submundo da ad tech.

Um dos detalhes mais interessantes é o “geo risk”, uma classificação que assinala sistemas de anúncios ligados a países sob sanções (Rússia, Bielorrússia, Irão), adversários declarados pelos EUA (China, Hong Kong) ou jurisdições de opacidade financeira como Chipre e Ilhas Virgens Britânicas. Ter uma bandeira destas não prova que alguém está a aspirar dados para fins maliciosos, mas é um excelente ponto de partida para investigações. Se já te preocupava a forma como a vigilância junta fragmentos de dados para construir perfis detalhados, esta ferramenta mostra que boa parte da infraestrutura necessária está à vista, distribuída por ficheiros que quase ninguém lia. A diferença é que agora há menos desculpas para a ignorância, tanto para quem regula como para quem publica anúncios.

Fonte: 404 Media