ProPublica est une salle de presse d’investigation lauréate du prix Pulitzer. Inscrivez-vous à la newsletter The Big Story pour recevoir des histoires comme celle-ci dans votre boîte de réception.
Au lendemain de l’invasion de l’Ukraine par la Russie en février, le président de la commission sénatoriale du renseignement, Mark Warner, a envoyé une lettre à Google avertissant Google d’être en alerte face à « l’exploitation de votre plate-forme par la Russie et des entreprises liées à la Russie », et a exhorté l’entreprise à revoir ses publicité sur le respect des sanctions économiques par les entreprises.
Mais pas plus tard que le 23 juin, Google a partagé des données utilisateur potentiellement sensibles avec une société de technologie publicitaire russe sanctionnée appartenant à la plus grande banque d’État de Russie, selon un nouveau rapport fourni à ProPublica.
Google a autorisé RuTarget, une société russe qui aide les marques et les agences à acheter des publicités numériques, à accéder et à stocker des données sur les personnes naviguant sur des sites Web et des applications en Ukraine et dans d’autres parties du monde, selon une enquête de la société d’analyse des publicités numériques adalytics. Adalytics a identifié près de 700 exemples de RuTarget recevant des données d’utilisateurs de Google après que la société a été ajoutée à la liste des sociétés sanctionnées du département du Trésor américain le 24 février. L’échange de données entre Google et RuTarget a pris fin quatre mois plus tard, le 23 juin, le jour où ProPublica a contacté Google au sujet de l’activité.
RuTarget, également connue sous le nom de Segmento, appartient à Sberbank, une banque publique russe que le ministère des Finances a qualifiée d' »importante d’une importance unique » pour l’économie du pays lorsqu’elle a commencé à frapper le prêteur avec des sanctions. RuTarget a ensuite été répertorié dans une annonce du ministère du Trésor du 6 avril imposant des sanctions de blocage complètes à la Sberbank et à d’autres sociétés et particuliers russes. Les sanctions signifient que les particuliers et les entreprises américains ne sont pas autorisés à faire des affaires avec RuTarget ou Sberbank.
Il était particulièrement préoccupant que l’analyse ait révélé que Google partageait des données sur les utilisateurs visitant des sites Web basés en Ukraine avec RuTarget. Cela signifie que Google peut avoir partagé des informations vitales telles que des identifiants de téléphone portable uniques, des adresses IP, des informations de localisation et des détails sur les intérêts et les activités en ligne des utilisateurs, des données selon les sénateurs et les experts américains obtenues de l’armée russe – et les agences de renseignement pourraient être utilisées pour suivre personnes ou cibler des endroits intéressants.
En avril de l’année dernière, un groupe bipartite de sénateurs américains a envoyé une lettre à Google et à d’autres grandes sociétés de technologie publicitaire avertissant des implications pour la sécurité nationale des données partagées dans le cadre du processus d’achat de publicités numériques. Ils ont déclaré que ces données d’utilisateur « seraient une mine d’or que les agences de renseignement étrangères pourraient exploiter pour informer et accélérer les campagnes de piratage, de chantage et d’influence ».
Le porte-parole de Google, Michael Aciman, a déclaré que la société avait empêché RuTarget d’utiliser ses produits publicitaires en mars et que RuTarget n’avait pas acheté d’annonces directement via Google depuis lors. Il a reconnu que la société russe obtenait toujours des données sur les utilisateurs et les achats d’annonces de Google avant d’être avertie par ProPublica et Adalytics.
« Google s’engage à respecter toutes les sanctions et lois commerciales applicables », a déclaré Aciman. « Nous avons examiné les entreprises en question et avons pris les mesures d’application appropriées au-delà de ce que nous avons pris plus tôt cette année pour les empêcher d’utiliser directement les produits publicitaires de Google. »
Aciman a déclaré que cette mesure comprend non seulement le blocage de RuTarget d’accéder davantage aux données des utilisateurs, mais également d’acheter des publicités par l’intermédiaire de tiers en Russie, qui pourraient ne pas faire l’objet de sanctions. Il a refusé de dire si RuTarget achetait des publicités via les systèmes Google avec ces tiers, et il n’a pas commenté si les données sur les Ukrainiens étaient partagées avec RuTarget.
Krzysztof Franaszek, responsable d’Adalytics et auteur du rapport, a déclaré que la capacité de RuTarget à accéder aux données des utilisateurs de Google et à les stocker pourrait ouvrir la porte à de graves abus potentiels.
« Pour autant que nous sachions, ils prennent ces données et les combinent avec 20 autres sources de données qu’ils ont obtenues de Dieu sait où », a-t-il déclaré. « Si les autres partenaires de données de RuTarget incluent le gouvernement russe ou les services secrets ou les cybercriminels, il y a un grand risque. »
Dans une déclaration à ProPublica, Warner, un démocrate de Virginie, a qualifié d’alarmant l’échec de Google à rompre sa relation avec RuTarget.
« Toutes les entreprises ont la responsabilité de s’assurer qu’elles n’aident pas à financer, ou même soutiennent par inadvertance, l’invasion de l’Ukraine par Vladimir Poutine. Apprendre qu’une entreprise américaine pourrait divulguer des données d’utilisateurs à une entreprise russe appartenant à une banque publique sanctionnée est incroyablement alarmant et franchement décevant », a-t-il déclaré. « J’exhorte toutes les entreprises à mener un audit approfondi de leurs opérations pour s’assurer qu’elles ne soutiennent en aucune façon la guerre de Poutine. »
Le message que Google a autorisé une société de publicité russe sanctionnée à collecter des données sur les utilisateurs pendant des mois est apparu en premier sur Germanic News.