Los adolescentes han descubierto cómo jugar con el algoritmo de rastreo de Instagram…

Los adolescentes están usando cuentas de grupo para inundar Instagram con datos de usuarios aleatorios que no pueden ser vinculados a una sola persona.

Como otros mil millones de personas, Samantha Mosley, de 17 años, pasó su sábado por la tarde revisando Instagram. Echó un vistazo a la pestaña Explorar, una función de Instagram que muestra publicaciones adaptadas a sus intereses basadas en algoritmos que rastrean sus actividades en línea y dirigen las publicaciones a su alimentación.

Pero a diferencia de muchos de los usuarios de Instagram, Mosley y sus amigos de la escuela secundaria en Maryland habían descubierto una manera de engañar al seguimiento de la red social propiedad de Facebook. En la primera visita, su pestaña "Explorar" mostraba imágenes de Kobe Bryant. Luego, en una actualización, guías de cocina, y después de otra actualización, animales.

"Nunca he mirado a los animales por este motivo", mencionó Mosley en Washington, DC. En la conferencia de hackers Shmoocon, junto con su padre, Russell Mosley, acababa de dar una presentación sobre cómo los adolescentes mantenían sus cuentas privadas de Instagram.

"Me gusta saber que si alguien encuentra mi cuenta, no podrán rastrear mis movimientos".

Samantha Mosley, estudiante de secundaria

Cada vez que refrescaba la pestaña de exploración, era un tema completamente diferente, ninguno de los cuales le interesaba. Eso es porque Mosley no era la única persona que usaba esta cuenta... pertenecía a un grupo de sus amigos, al menos cinco de los cuales podían estar en cualquier momento. Tal vez no podían ocultar sus huellas de datos, pero al menos podían dejar cientos de ellas para confundir a los rastreadores.

Estos adolescentes confían en una sofisticada red de usuarios de confianza de Instagram para publicar contenido desde múltiples dispositivos diferentes, desde múltiples lugares diferentes.

Si querías confundir a Instagram, aquí tienes cómo.

Primero, haz varias cuentas. Puedes tener una cuenta Instagram dedicada a ti y a tus amigos, u otra sólo para tu hobby. Dé acceso a una de estas cuentas de bajo riesgo a alguien en quien confíe. Luego, solicita un restablecimiento de la contraseña y envía el enlace a ese amigo de confianza que se conectará desde otro dispositivo. Los restablecimientos de contraseña no terminan las sesiones de Instagram, por lo que tanto tú como la segunda persona podrán acceder a la misma cuenta al mismo tiempo.

Por último, al hacer que otra persona publique la foto, Instagram obtiene los metadatos de un nuevo y novedoso dispositivo. Repite este proceso con una red de, digamos, 20 usuarios en 20 lugares diferentes con 20 dispositivos diferentes... Ahora le estás dando a Instagram un confuso cóctel de datos.

"Podrían ser como, 'Oye, has posteado desde este lugar de hamburguesas en Alemania, tal vez te guste Alemania, o las hamburguesas, o viajar, simplemente te tiraremos todo'", dijo Mosley. "Fluctuamos quién envía a qué cuenta. Una semana puedo estar enviando a 17 cuentas, y la semana siguiente sólo tengo cuatro". Facebook dijo que este método no estaba en contra de sus políticas, pero no lo recomendó a la gente por razones de seguridad.

Llevando la cuenta...

Casi todo lo que haces en línea es rastreado. Los gigantes de la tecnología como Facebook y Google siguen lo que haces en sus servicios, así como fuera de ellos. Es por eso que podrías empezar a ver más publicaciones relacionadas con cachorros en Instagram después de comprar comida para perros en Amazon, por ejemplo.

Apple y Google tienen identificaciones publicitarias para dispositivos iOS y Android, respectivamente, que permiten apuntar a aplicaciones móviles en base a dónde estás posteando y lo que has estado mirando. Del mismo modo, Facebook tiene sus píxeles de rastreo a través de sitios web para saber dónde has visitado en línea y puede medir datos como si compraste un artículo o cuánto tiempo has estado en la página.

Además, compañías como LiveRamp se asocian con cientos de comerciantes para ayudar a conectar las actividades fuera de línea con las identidades en línea. Los estudiantes se han visto cada vez más rastreados, a veces por padres preocupados y otras veces por administradores de escuelas que utilizan tecnología como Social Sentinel para minar los datos de los estudiantes en las redes sociales.

Aunque el código público de las redes sociales se aplica estrictamente a los mensajes públicos, los socios de datos lo utilizan para obtener una plétora de metadatos sobre las personas. Y los gigantes de la tecnología y los administradores de las escuelas no son los únicos que se preocupan por la privacidad de los estudiantes, dijo Mosley. Son los reclutadores de la universidad y los empleadores potenciales, también.

"Descubrimos que las universidades y los empleos buscan nuestros medios sociales", dijo Mosley. "Estamos tratando de vivir nuestra mejor vida y no tener que preocuparnos de que la gente nos vea y observe cada momento que hacemos y que eso se asocie a nuestra vida real".

Las admisiones universitarias y los empleadores sólo conocen a los estudiantes por sus puestos en los medios sociales, dice Mosley. Pero una identidad online es diferente de la vida real.

"Es una identidad que la gente puede seguir, pero no queríamos que fuera nuestra verdadera identidad la que la gente pudiera encontrar en la vida real", dijo.

Esfuerzo grupal

Mantener la privacidad escondiéndose en un grupo no es un concepto nuevo, incluso cuando los adolescentes empiezan a aplicarlo a Instagram.

Las tarjetas de recompensa por lealtad de las tiendas, por ejemplo, recogen muchos datos sobre las personas como sus hábitos de compra y preferencias. A cambio, los clientes obtienen puntos o descuentos para aplicar a sus compras. Pero los compradores que conocen la privacidad han encontrado una solución: Podían compartir las tarjetas a través de grupos de intercambio en línea, esencialmente inundando a los corredores de datos con una tonelada de datos irrelevantes.

Los desarrolladores de software también han empezado a proporcionar herramientas para ocultar sus datos en las redes sociales. En 2018, un desarrollador compartió un guión para una herramienta que "envenenaría" sus datos de Facebook al reemplazar las viejas publicaciones con líneas de código aleatorias, lo que dificultaba que la red social construyera un perfil para los anunciantes.

Jennifer Grygiel, profesora adjunta de la Universidad de Syracuse que estudia los medios sociales, dijo que las medidas de privacidad de los adolescentes eran innovadoras, aunque un poco extremas. Aún así, lo vieron como un método efectivo para contrarrestar la censura de los estudiantes.

"Los adolescentes han crecido con el conocimiento de que su privacidad está siendo recogida por algunas de estas aplicaciones", dijo Grygiel. "Tal vez uno de estos relatos es crítico con su escuela, o están involucrados en el activismo y están preocupados por la repercusión con sus autoridades locales".

También advirtieron que si una persona publica contenido malicioso en el grupo, todos los involucrados pueden ser responsabilizados.

Se necesita trabajo para mantener sus datos privados en Instagram. No sólo hay que coordinar con varias personas sobre quién tiene acceso a qué cuenta y quién está publicando para qué cuenta en un momento dado, sino que requiere una confianza total en que alguien no abusará del acceso.

Los adolescentes no deberían tener que llegar a esos extremos para socializar en privado en Instagram, dijo Liz O'Sullivan, directora de tecnología del Proyecto de Supervisión de Tecnología de Vigilancia.

"Me encanta que la generación más joven piense de esta manera, pero me molesta cuando tenemos que idear estas estrategias para evitar ser rastreados", dijo O'Sullivan. "Ella no debería tener estas redes de operaciones psicológicas con múltiples personas que trabajan para ocultar su identidad a Instagram". La plataforma debería tener una cuenta que funcione y que permita a la gente sentirse segura de estar en los medios sociales".

Mosley descubrió el potencial de su táctica después de hacer una cuenta de Instagram para su equipo de la Primera Liga de Lego en la escuela secundaria. La cuenta fue compartida entre los miembros del equipo, y notaron que servía un contenido diferente cada vez que la usaban. Como experimento, Mosley compartió la cuenta con su primo, que vivía fuera del estado.

Fue entonces cuando ella y sus amigos se dieron cuenta de que la cuenta compartida podía ser utilizada para ocultar sus datos del seguimiento de Instagram.

Es diferente a tener una "finsta", una cuenta falsa de Instagram para publicar contenido que no quieres compartir con el mundo, explicó Mosley. Una cuenta finsta te da privacidad de otras personas en Instagram, pero no de la propia Instagram, dijo.

"Con una finsta, todo el tráfico sigue viniendo de tu dispositivo", dijo Mosley. "Si lo tienes en un grupo, puedes tener datos reales de otras personas, y los datos no vienen de una VPN, sino del dispositivo de otra persona".

El padre de Mosley, Russell, hizo la presentación con ella en Shmoocon, y más tarde habló de cómo el grupo tiene medidas de seguridad para asegurarse de que sus otras cuentas no se vean comprometidas si un miembro del grupo decide ir por libre. Russell Mosley es un jefe de seguridad de la información en TISTA Science and Technology Corporation, y dijo que ha pasado bastante tiempo enseñando a Mosley sobre la higiene de seguridad adecuada.

"Samantha ha aprendido de mí y de su participación en conferencias de seguridad por qué compartir contraseñas es malo, así que cuando lo hace, es una contraseña única que no utiliza en ningún otro lugar y que generalmente es basura", dijo.

Un crisol de datos

Cuanta más gente haya en una cuenta, más oscuros serán los datos de Instagram, según encontró Samantha Mosley. En promedio, una persona podría tener alrededor de cinco personas en su cuenta, dijo.

En algunos casos, Mosley conoce cuentas con unas 20 personas diferentes cada una.

Así que mientras tú serías el único que podría acceder a una cuenta pública para que la vieran los potenciales oficiales de admisión de la universidad, tu cuenta para un grupo escolar podría ser manejada por otras cuatro personas. Al mismo tiempo, podrías estar en cuentas de grupo para otro grupo de personas, explicó Mosley.

Esa red estaría accediendo a las cuentas y publicando en nombre del propietario original, enturbiando los datos que Instagram obtiene.

La red de ofuscación ha crecido tanto que hay amigos en otros nueve países que forman parte de ella, con unas cinco personas en cada país, dijo.

Para ganar confianza y acceso para manejar más cuentas, Mosley dijo que hay que seguir las reglas básicas. Sólo puedes publicar contenido que el propietario original de la cuenta te pida que publiques, incluido el título, y no puedes seguir a nadie ni aceptar ninguna petición de los seguidores si la cuenta es privada.

Los "likes" son una zona gris, ya que necesitas que a otras personas les gusten varios tipos de publicaciones para alterar el objetivo de Instagram. Pero el propietario original de la cuenta siempre puede solicitar que no le gusten ciertos tipos de contenido.

Mosley señaló que a las personas que violen estas reglas se les revocará el acceso a su cuenta. En su mayoría, esta complicada red funciona para su grupo de amigos. También ha empezado a ponerse de moda con otros niños de su escuela, que están creando sus propias redes de cuentas de grupo, dijo.

"Me gusta saber que si alguien encuentra mi cuenta, no podrá rastrear mis movimientos y sabrá que va a esta escuela secundaria, a estas horas, que trabaja aquí y que le interesan estas cosas diferentes", dijo Mosley.