Geofeedia : Facebook, Twitter, Instagram bloquent l’outil de surveillance des manifestants

A la suite d’un rapport de l’ACLU (American Civil Liberties Union), au sujet de la surveillance par la police des activistes et autres protestataires grâce aux données présentes au niveau des réseaux sociaux, Twitter, Facebook et Instagram ont interrompu le flux de données qu’ils envoyaient à l’application Geofeedia.

Pendant environ 5 ans, Geofeedia avait utilisé les API de ces entreprises pour créer des cartographies en temps réel de l’activité sur les réseaux sociaux dans des zones de protestation. Ces cartographies ont été utilisées pour identifier, et dans certains cas arrêter, les manifestants peu de temps après que leurs publications n’aient été rendues public.

Selon une publication de l’ACLU début octobre, le représentant commercial de Geofeedia se vantait au sujet de son produit qui avait été, selon lui, utilisé au cours des manifestations à caractère racial, et notamment celle qui s’est déroulé à Ferguson (Missouri), durant laquelle Michael Brown est mort.

Voici l’extrait d’un email sécurisé en réponse à 63 demandes de données publiques que l’ACLU a effectuées auprès de 63 services de police en Californie :

Geofeed Streamer (une fonctionnalité du produit en question) est propre à Geofeedia et a de nombreuses applications (événements Live, manifestations, telles que Ferguson/Mike Brown que nous avons couvert au niveau national avec succès) …

Dans un témoignage émanant de Geofeedia, Andrew Vaccaro, inspecteur du la police de Baltimore a décrit les conséquences de la mort de Freddie Gray, en qualifiant ce événement de “tournant décisif” pour le département de police en matière de surveillance des réseaux sociaux.

A la minute où sa mort a été annoncée, nous savions que nous devions surveiller les données au niveau des réseaux sociaux, à des endroits clés, où des manifestations étaient prévisibles, notamment dans les environs du commissariat de police où Gray avait été arrêté.

Dans un autre cas particulier, en se basant sur les informations et alertes en temps réel de Geofeedia, envoyées par SMS et par emails, la police de Baltimore a remarqué une conversation entre étudiants qui prévoyaient de quitter la classe, et de réquisitionner un moyen de transports en commun pour prendre la tête de la manifestation.

La police les a interceptés, les étudiants avaient déjà  priori détourné un bus, et ils ont trouvé dans leurs “sacs à dos des cailloux, bouteilles et des piquets de clôture”.

Selon le témoignage de Vaccaro :

Ils prévoyaient de faire beaucoup de dégâts.

Après que l’ACLU ait rendu ses conclusions aux entreprises concernées, Instagram a bloqué l’accès aux publications publiques des utilisateurs, et Facebook à stoppé l’accès à un flux thématique de publications publiques des utilisateurs.

Twitter a suspendu l’accès commercial de Geofeedia à ses données.

Based on information in the @ACLU’s report, we are immediately suspending @Geofeedia’s commercial access to Twitter data.

— Policy (@policy) 11 octobre 2016

//platform.twitter.com/widgets.js

Au moins un commentateur s’est posé la question de savoir pourquoi Twitter avait dû attendre les conclusions de l’ACLU, pour révéler que Geofeedia fournissait les données de localisation concernant des manifestants. En effet, il ne s’agit pas d’une tentative par Geofeedia de récupérer ses données sans autorisation. En effet, la décision de Twitter d’arrêter soudainement, donnerait l’impression d’un effet de surprise et que l’entreprise est au final choquée.

Concernant Facebook, selon nos informations, dans un email de Mai 2016, un représentant de Geofeedia faisait mention d’un “accord confidentiel avec engagement légal” avec la firme.

L’ACLU a listé d’autres découvertes faites :

• Instagram a fourni à Geofeedia un accès à l’API d’Instagram, à savoir un flux de publications publiques des utilisateurs Instagram. Ce flux incluait notamment les données de localisation associées aux publications des utilisateurs. Instagram a bloqué cet accès depuis de 19 Septembre 2016.
• Facebook a fourni à Geofeedia un accès à un flux de données appelé le “Topic Feed API”, qui est supposé être un outil dédié aux entreprises du secteur des médias et aux marques, et qui a permis à Geofeedia d’obtenir un flux classé de publications publiques sur Facebook, et qui faisait apparaitre un sujet en particulier, incluant des hashtags, des évènements, et des lieux précis. Facebook a bloqué cet accès le 19 Septembre 2016.
• Twitter n’avait pas autorisé l’accès à son “Firehose”, cependant avait un accord, via une filiale, pour fournir à Geofeedia un accès de type moteur de recherche à sa base de données de tweets publics. En février, Twitter a ajouté des éléments aux termes de son contrat, afin d’essayer de mieux se protéger contre la surveillance. Cependant, les informations fournies par l’ACLU ont montré que encore très récemment (le 11 juillet dernier), Geofeedia continuait de promouvoir son produit comme un outil de surveillance des manifestants. A la suite de ces propos, Twitter a envoyé à Geofeedia une lettre pour mettre un terme au contrat.

Il ne s’agit pas de la première fois que Twitter essaie de se diversifier, mais au final se rétracte, notamment concernant les accès privilégiés permettant la surveillance par le biais du data mining.

En Mai dernier, The Wall Street Journal a rapporté que Twitter avait fermé l’accès à Dataminr : un service de data mining utilisé par les agences d’espionnage américaines pour détecter d’éventuelles attaques terroristes.

Un représentant de Facebook a souligné dans une déclaration envoyée à The Verge, qu’il bloquait l’accès de Geofeedia à son API, car l’entreprise en question n’utilisait pas les données dans le cadre des médias ou des marques.

Geofeedia n’avait accès qu’aux données que les utilisateurs avaient décidé de rendre public. Son accès était réglementé dans les limites de notre Politique de Plateformes, qui précise ce que nous attendons des développeurs qui reçoivent les données en utilisant notre Plateforme Facebook.

Si  un développeur utilise note API d’une manière non autorisée, nous prendrons une action rapide pour les stopper, et nous mettrons un terme définitif à notre collaboration.

Phil Harris, le CEO de Geofeedia a précis dans une déclaration envoyée par email, que l’entreprise était pleinement engagée dans le respect de la vie privée, et avait en place une politique claire pour “empêcher l’utilisation inappropriée de son logiciel”.

Cela dit, nous comprenons, qu’au vu des changements incessants inhérents à la technologie digitale, nous devons continuer de travailler en s’appuyant sur le besoin crucial de protéger les droits civils.

Geofeedia continuera de s’engager avec les acteurs majeurs des libertés civiles, y compris l’ACLU, ainsi que l’ensemble des services de police, afin de s’assurer de faire tout ce qui est en notre pouvoir pour favoriser le renforcement de la sécurité de son concitoyens américains, ainsi que la protection des libertés individuelles.

Comme l’a noté Russell Brandom dans The Verge, la cartographie de la manifestation de Ferguson, que Geofeedia a présenté lors d’une démonstration publique, ne fait pas la distinction entre les protestataires et les journalistes officiels : toutes les publications sont affichées sur la même carte.

Alors que les métadonnées sur cette cartographie sont disponibles publiquement, incluant les images, les données de géolocalisation, les identifiants disponibles au niveau du flux public d’Instagram, l’échelle au niveau de laquelle la police identifie et récupére les données des manifestants, dépasse largement le cadre de ce qu’un individu peut récupérer, sans un accès spécial à la plateforme API du réseau social.

En réalité, l’accès dont a bénéficié Geofeedia n’est pas autorisé par les conditions d’utilisation de Twitter et Facebook.

Selon l’ACLU dans sa publication :

En fait, c’est parce que Geofeedia a obtenu ce type d’accès à Twitter, Facebook et Instagram en tant que développeur, qu’il a pu avoir accès à ce flux de données, qui normalement aurait nécessité pour une personne isolée de subtiliser les données de manière automatique, ce qui est interdit par les conditions d’utilisation… Avec cet accès particulier, Geofeedia pouvait avoir un accès rapide au contenu public des utilisateurs et le rendre ainsi disponible auprès des 500 services de police et entreprises de sécurité publique, a déclaré l’entreprise.

L’ACLU, dans des courriers adressés à Twitter, Instagram et Facebook, avec le support de “Color of Change” et le “Center for Media Justice”, demande a Facebook et Twitter de changer la politique régissant leurs API, afin d’empêcher que des systèmes similaires en soient de nouveau utilisés à des fins de surveillance :

Ces entreprises ne devraient pas pouvoir fournir un accès aux données utilisateurs, à des développeurs dont les clients sont des services de police, et qui autorisent leurs produits à être utilisés pour surveiller, y compris la surveillance d’informations politiques, religieuses, d’opinions sociaux, d’origines raciales, de localisations, d’associations et d’activités, ou de n’importe quel individu ou groupe d’individus.

Follow @ SophosFrance //platform.twitter.com/widgets.js
Partagez Geofeedia : Facebook, Twitter, Instagram bloquent l’outil de surveillance des manifestants : http://wp.me/p2YJS1-30n
Billet inspiré de Facebook, Twitter, Instagram cut off surveillance tool used to track protesters, par Lisa Vaas, Sophos NakedSecurity.