Mobile Apps et privacy ne font pas (du tout) bon ménage

Les spécialistes du marketing suivent les utilisateurs de smartphones à travers leur "apps". Certaines applications permettent de recueillir bon nombre de renseignements comme l'emplacement géographique, l'identifiant du téléphone ou encore des détails personnels comme l'âge ou le sexe. Le Wall Street Journal a récemment analysé les données collectées et partagées par 101 applications populaires sur l'iPhone et les téléphones Android et propose d'explorer les données recueillies à travers une application web. 


Deux applications de scan de codes graphiques, Bahntech sur iPhone et Barcode Reader sur Android ont été testées. L'étude du WSJ conclut que Bahntech envoie des informations sur l'identifiant du téléphone (IMEI), et celle de Barcode Reader sur la localisation. Or si l'information à propos de Bahntech (iPhone) n'a pas suscité de réactions, celle sur Barcode Reader (Android) s'est vue largement commentée par les développeurs de l'application, qui, rappelons-le, est open source : Zxing. 

Sean Owen nous explique ainsi que Barcode Reader n'envoie aucune information de localisation à Google et que l'étude du WSJ est erronée...

En fait, lorsque l'on scanne un code à barre (EAN/UPC, ISBN etc.), l'application Barcode Reader reconnait que c'est un produit dont la nomenclature du code est normée, et propose ainsi d'accéder à des contenus à partir d'autres applications (Recherche de livre si l'on scanne un livre, Google Shopper si l'on scanne un produit de grande conso, une canette de Perrier, comme pour cet exemple) :

Et effectivement, Google Shopper doit envoyer des informations sur la localisation de l'utilisateur (et peut être d'autres, je ne sais pas).

On se rend compte combien la privacy devient (déjà) un inextricable bordel sur portable : En soi, Barcode Reader n'envoie aucune information. "The app collects zero information. I don’t have a server to stash your info. I don’t care what your bookmarks are or what your aunt’s phone number is!". Mais si à partir de l'application Barcode Reader, on accède à l'application Google Shopper, là, des informations sont envoyées. Comment l'utilisateur est-il prévenu ? La notification à l'utilisateur incombe-t-elle à Barcode Scanner, qui est l'application utilisée en premier, ou à Google Shopper ?

Lorsque l'on télécharge une application Android pour la première fois, les données utilisées sont toujours indiquées. Par exemple pour l'application Tumblr :

Source photo

Mais une fois l'application installée, il n'est plus possible d'en analyser le comportement.

C'est en partant de ce constat que Taintdroid a été developpé par une équipe de chercheurs provenant d'Intel Labs, Penn State, et Duke University et supporté par la U.S. National Science Foundation. 

Taintdroid est un système de monitoring en temps réel qui affiche dans la barre de notification quelles données sont utilisées et leur destination :




Une première enquête menée en 2010 portait sur les 50 applications gratuites les plus populaires dans chaque catégorie de l'Android Market, soit 1100 applications au total. 358 nécessitaient une connexion à l'Internet ainsi qu'un accès à la localisation, l'appareil photo ou d'autres données. Parmi ces 358 applications, 30 ont été choisies de manière aléatoire tout en représentant toutes les catégories de l'Android Market.

Et les nominés furent :

The Weather Channel (News & Weather); Cestos, Solitaire (Game); Movies (Entertainment);
Babble (Social); Manga Browser (Comics), Bump, Wertago (Social); Antivirus (Communication); ABC — Animals, Traffic Jam, Hearts, Blackjack, (Games); Horoscope (Lifestyle); Yellow Pages (Reference); 3001 Wisdom Quotes Lite, Dastelefonbuch, Astrid (Productivity), BBC News Live Stream (News & Weather); Ringtones (Entertainment), Layar (Lifestyle); Knocking (Social); Coupons (Shopping); Trapster (Travel); Spongebob Slide (Game); ProBasketBall (Sports); MySpace (Social); Barcode Scanner, ixMAT (Shopping); Evernote (Productivity).

Sur ces 30 applications, 20 ont été épinglées... (clic sur l'image) :

Source (PDF page 9)

L'étude précise bien qu'il s'agissait d'analyser le comportement des applications tout en prenant compte l'accord explicite ou implicite de l'utilisateur. Les applications pointées du doigt sont celles qui envoient des informations à l'insu de l'utilisateur, sans jamais l'avoir prévenu, soit 2 applications sur 3...

Du profilage marketing sous couvert de "protection de son compte" sur Facebook

Récemment, une annonce sur Facebook a attiré mon attention :

Sur ce pavé (entouré en rouge), dont on ne sait s'il est une publicité, si l'annonce provient d'un tiers ou de Facebook, il m'est indiqué que "l'état de protection de mon compte est très faible" :

Un lien me propose "d'augmenter le niveau de protection de mon compte" :

Sans toujours savoir s'il s'agit d'une application tierce ou d'une recommandation de Facebook, une boite de dialogue m'informe que, pour obtenir un niveau de protection élevé, je peux accomplir les trois actions suivantes : 

- ajouter une seconde adresse électronique

- confirmer mon numéro de mobile

- actualiser la réponse d'une question de sécurité

L'étape n°1 consiste donc à fournir à Facebook une deuxième adresse électronique : 

Selon eux, cela protège mon compte si je ne peux plus accéder à mon adresse électronique principale. Il se peut également que ce type d'information serve à rapprocher des comptes facebook dont l'adresse mail serait différente mais dont les auteurs ne feraient finalement qu'un.

L'étape 2 consiste à fournir un numéro de mobile :

et même s'inscrire à Facebook Mobile, toujours parce que le niveau de protection de mon compte est "très faible"...

Enfin, la troisième étape consiste à choisir et répondre à une question de sécurité :

Je vous laisse le soin de les lire :
- quel était le nom de famille de votre maîtresse de CP ?
- dans quelle ville votre mère est-elle née ?
- quels sont les cinq caractères de votre permis de conduire ?
- dans quelle rue habitiez-vous quand vous aviez 8 ans ?

Le propre de ce type de question est d'être particulièrement personnelle ; si les gens répondent à ce type de question, il est probable que les réponses qu'ils donnent soient exactes (quel intérêt de répondre à une question dont nous ne nous souviendrions plus de la réponse - autant ne pas répondre).


Si l'on résume, en trois étapes, et sous couvert de "protection de mon compte", Facebook a pu rapprocher deux emails, voire plus, avec un numéro de téléphone portable. Pour un réseau social, la valeur est dans la donnée personnelle. Plus elle est "riche" et surtout "certifiée", plus ces données permettront d'affiner le profil marketing de ses membres.

Avec ce petit programme, positionné comme une publicité sur sa page, Facebook continue de qualifier une base de donnée qu'il peine à monétiser à la hauteur de ses ambitions. Lorsque Jean-Nicolas Reyt s'est livré en juillet 2010 à un petit calcul portant sur les chiffres publiés par Facebook, il n'a pu que relever un certain nombre d'incohérences (par exemple, Facebook prétend avoir 1.6 millions de membres résidant à Oslo. Le hic? La capitale Norvégienne ne compte que 600.000 personnes). En Ile-de-France, nous serions 92% à utiliser Facebook...ou encore, un article de Zdnet nous apprend que "la ville de Bordeaux qui recense une population de 250 000 habitants hébergerait 400 000 membres". En fait, Facebook utiliserait les données fournies par les opérateurs pour la base RIPE (registre régional d'adresses IP) qui tient compte de la localisation du concentrateur ADSL et non de la position de l'internaute. 


Peut être que Facebook passe ainsi de l'identification de ses membres à leur authentification : dédoublonner les comptes, rattacher plusieurs mails à un profil principal, affilier plusieurs profils à un même numéro de téléphone portable etc. Les 500 millions de membres actifs dans le monde annoncés en juillet 2010 par le réseau social pourraient s'avérer être un chiffre un peu beaucoup gonflé. Publicité oblige..

Ce qui m'embête, c'est que cette qualification marketing est présentée comme un moyen de "protéger son compte", "de m'offrir une meilleure sécurité" et que l'incitation à mettre à jour ces informations est fortement recommandée puisque mon compte bénéficie d'une "protection globale très faible".

Tous les grands acteurs du web se mettent en ordre de bataille pour s'affronter sur le terrain de la prochaine bulle : la publicité locale et comportementale. Facebook vient de lever 1,5 milliards de dollars auprès de Goldman & Sachs et Digital Sky Technologies, valorisant la société 50 milliards de $ alors qu'aux Etats-Unis, à l'occasion d'une réunion d'une commission sénatoriale sur la vie privée en ligne, le président de la FTC, Jon Leibowitz déclarait "Nous avons le devoir de demander si les millions d'américains comprennent bien quelles informations sont récoltées à leur sujet et si oui ou non ils ont la possibilité de stopper certaines pratiques". (source)

En attendant, la récolte continue, par n'importe quel moyen, et la meilleure manière de collecter des infos personnelles sur quelqu'un reste toujours celle de directement les lui demander...

Introducing Word Lens

Lire un code à barre avec un téléphone portable : fonctionnalité ou objet d'une application ?

Comme nous le disions en octobre 2009, "scanner un code à barre" avec un téléphone portable devient l'une des fonctions logicielles intégrée dans des applications mobiles comme celles de Decathlon, Castorama, Houra ou en encore L'Oréal et non plus simplement l'objet d'une application comme Neoreader, Microsoft Tag ou encore Quickmark.

Un code-barre est un identifiant d'immatriculation et permet donc d'identifier un produit ou tout du moins la famille de produit à laquelle il appartient. Mais comme nous le mentionnions déjà ici, le code-barre n'est que l'un des composants d'un écosystème qui articule produit et identifiant, téléphone et logiciel, bases de données et information - et éventuellement le réseau (pour expliquer le Flashcode).

Ainsi, l'information à laquelle accède un utilisateur à partir d'un produit dépend avant tout du logiciel utilisé et des bases de données prévues par les concepteurs du service : Google Shopper ou Orange Shopping pour comparer les prix ? Un simple logiciel de scan de code-barre dont les résultats dépendront des bases de données interrogées ? Une application sociale comme GMO-free QR code reader (identifier des produits contenant des OGM) ou Goodguide (notation sociale et environnementale), voire médicale comme ScanAvert (allergène) ? Une application marketing comme Stickybits ? etc.

Le code-barre n'est qu'un identifiant physique d'immatriculation et/ou de connexion qui n'est pas relié à une ressource numérique précise mais à l'espace d'information constitué par le web.

On peut au moins faire une remarque : si les objets, et tout particulièrement les produits de grande consommation deviennent par l'intermédiaire du téléphone le vecteur d'information et de services provenant de tiers, (dont beaucoup sont déjà accessibles sur le web), quelles vont être leurs réactions de ceux qui en sont à l'origine ?

Beaucoup de marques sont circonspectes face à ces nouvelles pratiques, même si d'autres commencent à franchir le pas : Céline Brucker, Directrice Générale L’Oréal Paris France expliquait ainsi : « Tôt ou tard les consommateurs vont s’emparer du code barre comme ils se sont emparés du web ». (Source).

Ainsi, le scan de code-barre devient à la fois l'une des fonctions logicielles intégrée dans des applications mobiles développées par des marques (par exemple pour rajouter un produit dans sa liste de course avec l'application Houra) mais aussi l'objet d'une application qui permettrait d'accéder à des informations tierces (comparer les prix).  

Avez-vous d'autres exemples ? Qu'en pensez-vous ?

Un QalendrieR de l'avent !

La semaine du 13 décembre au jeudi 16 !  Le calendrier complet sur mydailyshot.com (by Lynkee).

Starbucks Mobile Card scanner

Starbucks Mobile Card scanner, première mise en ligne par gumption.

http://mashable.com/2010/10/24/starbucks-card-mobile-new-york/

Live Japon : ça sent le détournement de sens

http://www.clubic.com/humour-informatique-geek/live-japon/actualite-374314-live-japon.html

Scan barcode on mobile phone via google browser / orange shopping

Screenshot sous Android 2.1 Acer Liquid

On connaissait les applications mobiles, puis les web-app, raccourci d'une application accédée à partir du bureau, voici les browse-app, une application accédée à partir d'un navigateur. Une fois le code graphique scanné (je n'ai essayé que barcode scanner), une requête est lancée par le moteur Google Product à partir de l'identifiant EAN et une liste de résultats est affichée.

Bon après, Google ne s'est pas encore connecté aux marchands français apparemment, puisque la même requête lancée avec l'application Orange Shopping donne ceci : (aussi avec le scan du code EAN du produit)

Orange Shopping s'appuie sur le comparateur Leguide.com qui lui-même renvoie sur e-consommables :

J'avoue, ce n'est pas le produit le plus intéressant. Mais essayez avec un livre, un produit high-tech ou de l'électroménager.. Et rappelons-nous que 8 internautes sur 10 préparent déjà leurs achats sur Internet avant d'acheter un produit, en catalogue, en magasin ou directement sur le web. Or si l'ordinateur est avant tout le terminal électronique d'un lieu, le téléphone est quant à lui l'ordinateur d'un individu dans un lieu... Que se passe-t-il, si la gestuelle prend, lorsqu'il est en magasin ?

///

http://www.lefigaro.fr/conjoncture/2010/10/13/04016-20101013ARTFIG00336-google-veut-traquer-les-prix.php

Parlez vous QR Code ? (vu à Suresnes)

Published with Blogger-droid v1.6.0

Product Empire : a social network game that motivates users to scan barcodes and to enter basic product information, such as product name, brand and category and to upload a picture

Source

Towards an open product repository using playful crowdsourcing
Andreas Budde and Florian Michahelles
Information Management, ETH Zurich Scheuchzerstrasse 7, 8092 Zurich {abudde@ethz.ch, fmichahelles@ethz.ch}

Despite the ubiquity of barcodes there is no common product repository available today linking product master data to the corresponding barcodes. This paper proposes a social network game (Product Empire) that motivates users to scan barcodes and to enter basic product information, such as product name, brand and category and to upload a picture. A first prototype has been implemented and applied in an initial formative user study with 10 users who have generated 80 product scans with user-generated descriptions in a week time frame. This result shows the potential of generating an open product repository by motivating users with a game approach. Read the paper.

Which Countries are the Most “QR Code Ready" ?

The map below depicts the percentage of mobile Web traffic from devices that have the ability to install a QR Code Reader.

 

Source

Hype Cycle 2010 from Gartner

Did you find augmented reality ?

150 QR Code links by @uSCANme

Top 150 ‘Must Read’ Quick Response (QR) Code Stories of 2010 [aka Two Dimensional (2D) Scan Codes; EZcodes; Tag; Mobile Tags for SmartPhone]

Augmented Reality Magazine Edition in Sueddeutsche Zeitung's supplement magazine

Urban speaker (broadcast your voice in public by calling a telephone number from your mobile phone)

The Urban Speaker is an art installation that transforms public space into an instant stage for mass communication. This portable urban furniture allows people to broadcast their voice in public by calling a telephone number from their mobile phones... source.