เครื่องมือกล่องจดหมาย: ภัยคุกคามต่อความเป็นส่วนตัวและความปลอดภัยของข้อมูลผู้บริโภค

หัวข้อที่ขัดแย้งกันมากขึ้นเกี่ยวกับความเป็นส่วนตัวและความปลอดภัยของข้อมูลผู้บริโภคนั้นได้รับความสนใจเมื่อไม่นานนี้ในบทความของ New York Times ที่ วิพากษ์วิจารณ์การดำเนินธุรกิจที่ใช้โดย Slice เจ้าของ Unroll.me แอปพลิเคชันการจัดการการสมัครรับข้อมูลอีเมลและ Uber บทความเปิดเผยว่า Slice ขายข้อมูลผู้บริโภคจาก Unroll.me ให้กับบริษัทแชร์รถยอดนิยม

“Uber ทุ่มเททีมให้กับสิ่งที่เรียกว่าข่าวกรองด้านการแข่งขัน โดยการซื้อข้อมูลจากบริการวิเคราะห์ที่เรียกว่า Slice Intelligence ด้วยการใช้บริการสรุปอีเมลที่ชื่อ Unroll.me Slice ได้รวบรวมใบเสร็จ Lyft ทางอีเมลของลูกค้าจากกล่องจดหมายและขายข้อมูลที่ไม่เปิดเผยตัวตนให้กับ Uber”

ในขณะที่ Jojo Hedaya CEO ของ Unroll.me ได้เสนอคำขอโทษ แต่ก็ล้มเหลวในการสร้างความพึงพอใจให้กับลูกค้าบางราย และส่วนความคิดเห็นในเว็บไซต์ต่างๆ ก็ร้อนระอุขึ้นเนื่องจากลูกค้าบางรายขอให้ทำลายข้อมูลของพวกเขา

แต่มีปัญหา

Unroll.me และเครื่องมืออื่นๆ ที่คล้ายกันสามารถสงวนสิทธิ์ในการเก็บรักษาข้อมูลอีเมลของคุณอย่างไม่มีกำหนด และการเป็นเจ้าของข้อมูลประเภทนี้คือสิ่งที่ทำให้บริษัทอย่าง Unroll.me (Slice) มีค่ามาก

ตัวอย่างเช่น ในการตอบกลับเรื่องราวของ Unroll.me บน Y Combinator ผู้ร่วมให้ข้อมูลอ้างว่า “ส่วนใหญ่ของ Slice ที่ซื้อ Unroll.me คือการเข้าถึงที่เก็บอีเมลเหล่านั้น โดยเฉพาะอย่างยิ่ง พวกเขาต้องการค้นหาแนวโน้มของคำหลักและใบเสร็จรับเงินจากการซื้อออนไลน์”

และสิ่งที่ผู้บริโภคส่วนใหญ่ไม่รู้ก็คือการเก็บรวบรวมและขายข้อมูลประเภทนี้เกิดขึ้นกับบริษัทเครื่องมือกล่องจดหมายอื่นๆ ด้วย (เช่น Boxbe จาก eDataSource และ OtherInbox และ Organizer จาก Return Path) ก่อนหน้านี้เราได้กล่าวถึงเครื่องมือเหล่านี้บางส่วนในบล็อกของเรา The Truth About Email Panel Data

เหตุใดผู้บริโภคจึงสมัครใจมอบข้อมูลอีเมลของตน

คุณอ่านข้อกำหนดและนโยบายความเป็นส่วนตัวของทุกบริการออนไลน์ที่คุณใช้หรือไม่

จากการศึกษาล่าสุด The Biggest Lie on the Internet: Ignoing the Privacy Policies and Terms of Service Policies of Social Networking Services นักวิจัยพบว่า 86% ของผู้ทดสอบใช้เวลาน้อยกว่าหนึ่งนาทีในการอ่านข้อกำหนดในการให้บริการ และ 97% ใช้จ่ายน้อยลง กว่าห้านาที นอกจากนี้ น้อยกว่า 2% สังเกตเห็นว่าเมื่อยอมรับข้อกำหนดในการให้บริการ พวกเขากำลัง "จัดหาบุตรหัวปี" เป็นการชำระเงินสำหรับการเข้าถึงแอปพลิเคชันทดสอบ

เช่นเดียวกับผู้บริโภคส่วนใหญ่ เราถือว่าผู้ใช้เครื่องมือกล่องจดหมายฟรีไม่ค่อยอ่านนโยบายที่พวกเขาเห็นด้วย แต่สุภาษิตโบราณยังคงเป็นความจริง: หากคุณไม่ได้จ่ายเงินเพื่อใช้ผลิตภัณฑ์—newsflash—คุณ (และข้อมูลของคุณ) คือ ผลิตภัณฑ์

ผู้ใช้เครื่องมือกล่องจดหมายฟรี: คุณ (และข้อมูลของคุณ) เป็นผลิตภัณฑ์

เมื่อเร็วๆ นี้ ลอร่า แอตกินส์ ผู้มีประสบการณ์ในอุตสาหกรรมอีเมลได้นำเครื่องมือกล่องจดหมายและอุตสาหกรรมข้อมูลแผงอีเมลมาจัดการกับความเสี่ยงด้านความปลอดภัยสำหรับผู้ใช้ และในการตอบสนองต่อข้อกังวลของ Atkin Dennis Dayman หัวหน้าเจ้าหน้าที่ความเป็นส่วนตัวของ Return Path ได้เสนอความคิดเห็นนี้:

“ขั้นตอนการลงทะเบียนของเราทำให้ชัดเจนว่าเราใช้ข้อมูลของผู้ใช้เพื่อวัตถุประสงค์ในการวิจัยตลาด แต่ในลักษณะที่ไม่ระบุชื่อและรวม เราทำข้อความดังกล่าวเป็นภาษาอังกฤษที่กระชับและเข้าใจง่าย ณ จุดลงทะเบียน ไม่ได้ฝังอยู่ในข้อกำหนดในการให้บริการแบบคลิกผ่านที่ผู้ใช้จะไม่เห็น ”

แต่นี่คือลักษณะที่หน้าลงทะเบียนผู้จัดงาน Return Path-owned Organizer อ่านว่า:

“ในการให้บริการนี้ เรารวบรวมและแบ่งปันข้อมูลบางอย่างเกี่ยวกับข้อความอีเมลที่ไม่ใช่ส่วนบุคคล (เช่น อีเมลเชิงพาณิชย์) ข้อมูลนี้ช่วยให้เราได้รับข้อมูลเชิงลึกเกี่ยวกับพฤติกรรมของผู้บริโภค และยังช่วยให้เราปรับปรุงระบบนิเวศของอีเมลด้วยความเข้าใจที่ดีขึ้นว่าผู้คนโต้ตอบกับข้อความอีเมลที่ไม่ใช่ส่วนบุคคลที่พวกเขาได้รับอย่างไร”

แม้ว่าเราจะเห็นด้วยกับ Dayman ของ Return Path ว่าผู้ใช้ควรได้รับคำอธิบาย "ภาษาอังกฤษธรรมดา" เกี่ยวกับเครื่องมือของพวกเขาที่จะทำอะไรกับข้อมูลลูกค้าโดยไม่จำเป็นต้องอ่านนโยบายความเป็นส่วนตัวที่ยาวนาน แต่เรารู้สึกว่าสำเนาเว็บไซต์ของผู้จัดงานไม่สามารถตอบสนองความต้องการดังกล่าวได้

ดังนั้นเราจึงทำในสิ่งที่ผู้ใช้เครื่องมือกล่องจดหมายส่วนใหญ่ไม่น่าจะทำ: อ่าน นโยบายความเป็นส่วนตัวของข้อมูลเส้นทางส่งคืน ประมาณ 4,653 คำ

หมายเหตุ: เราไม่ใช่ทนายความ ดังนั้นโปรดปรึกษาทนายความหากคุณต้องการความเห็นทางกฎหมายเกี่ยวกับข้อมูลที่กล่าวถึงในบล็อกนี้

ฝังอยู่ในนโยบายความเป็นส่วนตัว เราพบว่าเครื่องมือนี้รวบรวม “ข้อความเชิงพาณิชย์ ธุรกรรม และความสัมพันธ์” (ข้อมูลการใช้บริการ)—ไม่ใช่ ไม่ใช่แค่จดหมายเชิงพาณิชย์ และ "ข้อความความสัมพันธ์" เป็นอีเมลส่วนตัวหรือไม่? ตามเว็บไซต์ เครื่องมือนี้เน้นที่อีเมลที่ไม่ใช่ส่วนบุคคล ขออภัย หลังจากอ่านหัวข้อนี้หลายครั้งในนโยบาย เราไม่พบคำอธิบายที่ชัดเจนของคำนี้

ระบุไว้ที่อื่นในนโยบายเป็นส่วนเกี่ยวกับข้อมูลที่ไม่ระบุตัวบุคคลซึ่งถูกรวบรวมและขายให้กับบุคคลที่สาม (ข้อมูลการใช้บริการ) ที่อีเมลอาจถูกเก็บไว้อย่างไม่มีกำหนด (การเก็บรักษาข้อมูลส่วนบุคคล) ที่แอพอาจติดตามตำแหน่งของผู้ใช้เมื่อใช้งานบนมือถือ อุปกรณ์ (ข้อมูลรวม) และข้อมูลของคุณอาจถูกขายให้กับบริษัทอื่น (การเปลี่ยนแปลงการควบคุม/การโอนสินทรัพย์) เมื่อใดก็ได้ จะเกิดอะไรขึ้นกับข้อมูลของคุณหากบริษัทอื่นได้รับ Return Path? มันไม่ชัดเจนสำหรับเรา

คุณเห็นข้อมูลที่สื่อสารเป็น "ภาษาอังกฤษธรรมดา" ที่นี่หรือไม่:

ที่มา: Return Path's Organizer

เราก็เช่นกัน

การขายใบเสร็จ Lyft เป็นเพียงยอดภูเขาน้ำแข็ง

การขายข้อมูล Unroll.me ให้กับ Uber ทำให้หลายคนไม่พอใจ แต่ก็ไม่ได้ทำให้เสียโฉมในการรวบรวมข้อมูลในวงกว้างที่ขายในที่อื่น

ตัวอย่างเช่น เส้นทางการคืนสินค้ามีเครื่องมือกล่องจดหมายฟรีมากมายสำหรับผู้บริโภค และ “รวบรวมข้อมูลใบเสร็จของผู้บริโภคโดยละเอียดจากแหล่งที่หลากหลาย” เพื่อแสดง “ข้อมูลการรับสินค้าในระดับรายการสามารถแสดงให้คุณเห็นว่าผู้บริโภคกำลังทำอะไรอยู่” รายงานการรวบรวมข้อมูลเกี่ยวกับการชำระเงิน ธนาคาร ผู้ค้าปลีก อีคอมเมิร์ซ ฯลฯ:

ที่มา: Return Path Consumer Insights

บนเว็บไซต์ Return Path เหนือรูปภาพนี้ และในขณะที่บล็อกนี้ มีข้อความว่า “Return Path นำเสนอข้อมูลผู้บริโภคอย่างที่คุณไม่เคยเห็นมาก่อน” หากภาพด้านบนแสดงข้อมูลที่ถูกต้องของ Return Path ที่รวบรวมและขาย คอลเล็กชัน "Consumer Insight" ของพวกเขาจะเหนือกว่าใบเสร็จ Lyft ราคาประกันภัย ใบแจ้งยอดออนไลน์ ประวัติการซื้อ พฤติกรรมการรับชม Netflix การเปลี่ยนผู้ให้บริการโทรศัพท์... นี่เป็นข้อมูลประเภทที่ผู้บริโภคจินตนาการถึงการแบ่งปันเมื่อสมัครใช้เครื่องมือกล่องจดหมายฟรีหรือไม่

น่าแปลกที่ดูเหมือนว่าเครื่องมือในกล่องจดหมายที่อ้างว่าปรับปรุงประสิทธิภาพการทำงานของผู้ใช้และช่วยให้คุณหลีกเลี่ยงสแปม อาจมีการซื้อและวิเคราะห์ข้อมูลเพื่อแจ้งสแปมที่ดีขึ้น (หรือสแปมที่ดีกว่า) ตามข้อมูลที่รวบรวมจากบัญชีอีเมลของผู้ใช้

จำไว้ว่า หากคุณกำลังใช้เครื่องมือกล่องจดหมายฟรี คุณ (และข้อมูลของคุณ) คือผลิตภัณฑ์

เครื่องมือกล่องจดหมายของบุคคลที่สามอาจก่อให้เกิดความเสี่ยงด้านความปลอดภัยที่สำคัญ

โพสต์ Y Combinator ยังกล่าวหาถึงปัญหาด้านความปลอดภัยก่อนหน้านี้ที่ Unroll.me:

“ฉันทำงานให้กับบริษัทที่เกือบจะเข้าซื้อกิจการ Unroll.me เมื่อสามปีที่แล้วพวกเขาเก็บสำเนาอีเมลของคุณทุกฉบับที่คุณส่งหรือรับในขณะที่เป็นส่วนหนึ่งของบริการ อีเมลเหล่านั้นถูกเก็บไว้ในชุดถัง S3 ที่มีความปลอดภัยต่ำ”

ถัง S3 ที่ปลอดภัยไม่ดี? เก็บสำเนาของอีเมลทุกฉบับหรือไม่ ไม่ว่าจะส่งหรือรับ? หากเป็นเรื่องจริง อาจหมายความว่าที่เก็บข้อมูล S3 ของ Unroll.me เต็มไปด้วยใบเสร็จการซื้อ การรีเซ็ตรหัสผ่าน และใครจะรู้ว่าข้อความส่วนตัวประเภทใด แม้แต่ข้อความที่ส่งไปทั้งหมดที่ไม่เกี่ยวข้องกับการใช้เครื่องมือก็สามารถจัดเก็บได้

แล้วข้อมูลรับรองการเข้าสู่ระบบล่ะ? แม้ว่าผู้ให้บริการบางราย (Gmail, Yahoo, Outlook) จะให้การรับรองความถูกต้อง OAuth แต่ AOL และ Apple (icloud.com) จะไม่อนุญาต และแอปพลิเคชันกล่องจดหมายเหล่านี้จะขอข้อมูลรับรองการเข้าสู่ระบบของคุณ รวมทั้งรหัสผ่านของคุณเพื่อใช้บริการ แม้ว่าบริษัททั้งหมดอ้างว่าตนปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดตามมาตรฐานด้านความปลอดภัย การละเมิดข้อมูลได้กลายเป็นเรื่องปกติในบริษัทซอฟต์แวร์หลายแห่ง

แหล่งข้อมูลหลายแห่งชี้ให้เห็นว่าเครื่องมือเหล่านี้บางตัวขอสิทธิ์การเข้าถึงแบบอ่านและเขียนเต็มรูปแบบในบัญชีของคุณ ซึ่งหมายความว่าแอปพลิเคชันหรือใครก็ตามที่อาจฝ่าฝืนอาจมีอิสระในการจัดการกล่องจดหมายของคุณตามที่เห็นสมควร

วิธีหยุดเครื่องมือกล่องจดหมายจากการรวบรวมข้อมูลอีเมลของคุณ

หากคุณเป็นผู้ใช้ Unroll.me, Boxbe, Organizer หรือเครื่องมือกล่องจดหมายอื่นๆ และคุณต้องการเพิกถอนความสามารถในการรวบรวม จัดเก็บ และขายข้อมูลของคุณ ต่อไปนี้เป็นคำแนะนำเกี่ยวกับวิธีปิดการเข้าถึง:

• Gmail: ไปที่หน้าความปลอดภัยและไปที่ "แอปและไซต์ที่เชื่อมต่อ" ใต้ "การลงชื่อเข้าใช้และความปลอดภัย" ที่เมนูด้านซ้าย คลิกบริการที่คุณต้องการลบ และจะแสดงปุ่ม "นำออก" สีฟ้า ตอบ “ใช่” เมื่อถูกถาม “คุณแน่ใจหรือไม่ว่าต้องการลบการเข้าถึง”
• Outlook: การใช้โปรแกรมเสริมใน Outlook.com หรือ Outlook บนเว็บ
• Yahoo!: ลบการอนุญาตไปยังแอพของบุคคลที่สาม

สำหรับผู้ใช้ที่แชร์ข้อมูลรับรองการเข้าสู่ระบบอีเมลกับเครื่องมือกล่องจดหมาย คุณควรเปลี่ยนรหัสผ่านสำหรับบัญชีอีเมลของคุณทันที

เรายังสนับสนุนให้ผู้ใช้ติดต่อเจ้าของเครื่องมือและขอคำชี้แจงว่าข้อมูลส่วนบุคคลของคุณ (เช่น ข้อความธุรกรรม ข้อความส่วนตัว ข้อมูลรับรองการเข้าสู่ระบบ) ถูกจัดเก็บอย่างไรและอย่างไร พร้อมด้วยลิงก์ไปยังส่วนนโยบายความเป็นส่วนตัวที่อนุญาตให้พวกเขา ทำเช่นนั้น