Обещание получить новый iPhone бесплатно оказалось входом в куда более крупную систему, где главным товаром становится не смартфон, а сам участник розыгрыша. Qurium Media Foundation проследила путь данных через сеть рекламных компаний, посредников и офшорных структур и обнаружила связанную экосистему, которая годами собирает и передаёт сведения о пользователях.
Специалисты начали с действующих рекламных объявлений, обещавших бесплатные iPhone и Samsung. Они проходили весь путь обычного участника, от баннера до финальной анкеты. Разные акции выглядели независимыми, использовали разные бренды и оформление, но раз за разом приводили к общей технической, юридической и коммерческой инфраструктуре. Похожий принцип используют и более прямолинейные схемы с iPhone, где интерес к дорогому смартфону помогает получить деньги или персональные сведения.
Qurium разделила такую систему на три уровня. Оператор посадочной страницы покупает рекламный трафик, показывает розыгрыш и собирает первоначальные сведения. Затем информация попадает к компаниям, которые занимаются лидогенерацией, маркетингом и коммерческими предложениями. Отдельно фигурирует предполагаемый спонсор приза, однако во всех изученных случаях специалистам не удалось независимо подтвердить его участие.
Получается необычная конструкция. Движение персональных данных можно проследить, а происхождение обещанного бесплатного смартфона остаётся практически непрозрачным. Qurium также не нашла публичных подтверждений резервирования призов, независимого аудита или гарантированного исполнения обязательств. Списки победителей и точные шансы на выигрыш обычно тоже недоступны.
Среди повторяющихся операторов специалисты обнаружили британскую Time Travel Promotion LP и кипрскую Seven Media Code Ltd. Первая компания фигурировала за несколькими внешне разными брендами, включая VerticalMailer, LeadMaid и Admailers. Владельцами Time Travel Promotion LP указаны две офшорные структуры с Сейшельских и Маршалловых островов. Такая разветвлённость затрудняет понимание того, кто в конечном счёте отвечает за собранные сведения.
Следы обеих групп сайтов привели исследователей к зарегистрированной на Сейшелах DataSoft Solutions SA, связи с которой прослеживаются как минимум с 2011–2012 годов. Qurium связывает компанию с массовыми почтовыми и рекламными кампаниями, а также с инфраструктурой для дальнейшего распространения и повторного использования данных. Рекламные массивы могут иметь ценность далеко за пределами обычного маркетинга. Ранее стало известно, как сведения из рекламной экосистемы позволяют отслеживать устройства и восстанавливать перемещения пользователей.
Политики конфиденциальности изученных розыгрышей раскрыли ещё одну часть цепочки. В списках потенциальных получателей информации оказались десятки компаний из Бельгии, Дании, Эстонии, Франции, Германии, Испании, Великобритании и США. Многие занимаются эффективностным маркетингом, лидогенерацией и потребительскими предложениями. Экономическая модель, по оценке Qurium, связана прежде всего с объёмом собранных контактов, возможностью повторно применять сведения и передавать их дальше.
Проверить, насколько легко человек может остановить такой оборот информации, оказалось непросто. Qurium связалась с 21 компанией из маркетинговой цепочки. Двенадцать организаций, или 57%, не ответили либо оказались недоступны. Ещё восемь, 38%, потребовали от заявителя прислать рекламные письма, идентификаторы кампаний или другие доказательства. Только одна компания сообщила, что добавила адрес электронной почты в список исключений.
Проблема выходит за рамки конкретных розыгрышей. Чем больше посредников получают сведения, тем сложнее человеку определить, где хранится информация и кому отправлять требование об удалении. Скрытый сбор данных уже встречается и в совершенно других продуктах. Например, некоторые браузерные расширения передавали переписку пользователей с ИИ на сторонние серверы.
В центре расследования также оказалась норвежская рекламная компания Advertis AS и её директор Кристиан Гика. В ответе Qurium Гика заявил, что Advertis AS законно работает в сфере цифровой рекламы и лидогенерации, а сбор и коммерческое использование пользовательских данных допустимы при наличии действительного согласия. Он также подчеркнул, что вопросы к разным юридическим лицам следует направлять каждой организации отдельно.
Авторы расследования пришли к выводу, что изученные акции нельзя рассматривать как набор полностью независимых розыгрышей. За разными вывесками повторяются одни и те же компании, инфраструктура и механизмы передачи информации, тогда как ответственность распределена между множеством участников цепочки. Qurium не утверждает, что призы никогда не выдаются, но указывает на отсутствие доступных подтверждений их обеспечения в исследованных случаях.
Розыгрыши смартфонов особенно хорошо работают как приманка благодаря высокой цене и популярности устройств Apple. В сентябре мошенники уже использовали интерес к iPhone 18 в фальшивых предзаказах, уведомлениях о несуществующих покупках и предложениях забронировать новую модель раньше остальных.
Сами рекламные данные давно превратились в самостоятельный ценный ресурс. В апреле специалисты обнаружили платформу, которая связывает рекламные идентификаторы с геолокацией и позволяет анализировать перемещения до 500 млн устройств. История с бесплатными смартфонами показывает другой путь к тому же ресурсу, когда человек добровольно оставляет контакты ради привлекательного приза.
В России вопросы хранения и оборота персональной информации тоже становятся всё чувствительнее. По исследованию рынка Privacy, 57,8% опрошенных компаний относили утечки данных к заметным рискам, а проверки Роскомнадзора беспокоили 77,6% организаций.
