Google recebe ordem para revelar a identidade de espectadores de vídeos específicos no YouTube
(forbes.com)- Agências federais de investigação dos EUA exigiram do Google, por meio de duas ordens judiciais, informações de espectadores de vídeos e transmissões ao vivo específicos no YouTube, ampliando o temor de que até espectadores inocentes possam acabar no radar das investigações
- No caso de Kentucky, foram solicitadas informações de contas Google de quem assistiu a tutoriais enviados para localizar o usuário “elonmuskwhm”, além dos endereços IP de espectadores não logados
- No caso de New Hampshire, após uma ameaça de explosivo, a polícia relatou ter sido monitorada por meio de transmissões ao vivo no YouTube e pediu a lista de contas que assistiram ou interagiram com 8 streams em um período específico
- O Google afirmou que analisa a validade legal e a privacidade do usuário em todos os pedidos das autoridades e que contesta exigências excessivas ou inadequadas de dados
- Como o histórico de visualização online pode revelar informações sensíveis, como inclinação política, interesses e crenças religiosas, há o risco de que ordens judiciais se expandam para uma investigação em rede digital
Duas ordens judiciais que exigiram informações de espectadores específicos do YouTube
- Agências federais de investigação dos EUA exigiram que o Google entregasse, por ordem judicial, informações de pessoas que assistiram a vídeos e transmissões ao vivo específicos no YouTube
- Especialistas em privacidade de grupos de direitos civis alertam que esse método pode tratar espectadores inocentes do YouTube como suspeitos criminais, aproximando-se de uma investigação excessiva inconstitucional
- Só pelos registros judiciais não é possível confirmar se o Google realmente forneceu os dados
Caso de Kentucky: pedido de dados de espectadores para rastrear “elonmuskwhm”
- No caso tornado público em Kentucky, investigadores infiltrados tentavam identificar uma pessoa que usava o pseudônimo online “elonmuskwhm”
- Os investigadores acreditavam que esse usuário havia comprado bitcoin em dinheiro e poderia ter violado leis de lavagem de dinheiro e regras relacionadas a remessa de valores sem licença
- Em uma conversa no começo de janeiro, investigadores infiltrados enviaram ao usuário links de tutoriais no YouTube sobre mapeamento com drones e software de realidade aumentada
- Depois disso, as autoridades pediram ao Google informações sobre quem assistiu a esses vídeos
- Os vídeos somavam mais de 30 mil visualizações
- O período coberto pelo pedido foi de 1º de janeiro a 8 de janeiro de 2023
- Para usuários com conta Google, foram solicitados nome, endereço, telefone e atividade do usuário
- Para espectadores não logados, foram solicitados endereços IP
- As autoridades avaliaram que esses registros ajudariam a identificar o autor em uma investigação criminal em andamento
Caso de New Hampshire: ameaça de explosivo e transmissões ao vivo no YouTube
- A polícia de Portsmouth, em New Hampshire, recebeu de um homem uma ameaça de que explosivos haviam sido colocados em lixeiras de um local público
- Após a busca no local, a polícia descobriu que estava sendo observada por meio de câmeras de transmissão ao vivo no YouTube associadas a empresas da região
- Investigadores federais acreditavam que casos semelhantes haviam ocorrido em várias partes dos EUA, com ameaças de bomba feitas enquanto a polícia era observada pelo YouTube
- As autoridades pediram ao Google a lista de contas que assistiram e/ou interagiram com 8 transmissões ao vivo do YouTube em um período específico, além de informações de identificação relacionadas
- Entre elas estava um vídeo publicado pela Boston and Maine Live, com 130 mil inscritos
- Mike McCormack, fundador da empresa IP Time Lapse, por trás da conta, disse que sabia da ordem e que ela estava ligada a um caso de swatting que teve como alvo a imagem da câmera na época
A posição do Google e o que não foi divulgado
- Matt Bryant, porta-voz do Google, disse que a empresa mantém procedimentos rigorosos para responder a todas as exigências das autoridades, protegendo a privacidade dos usuários e seus direitos constitucionais, ao mesmo tempo em que apoia o trabalho policial
- A posição do Google é a de revisar a validade legal de cada pedido e decidir em conformidade com a jurisprudência em evolução
- A empresa afirmou que se opõe a exigências excessivas ou inadequadas de dados de usuários e que contesta integralmente alguns pedidos
- Só pelos registros judiciais não é possível confirmar se o Google realmente forneceu dados nos dois casos
- Até a publicação da reportagem, o Departamento de Justiça não respondeu ao pedido de comentário
Preocupações de especialistas em privacidade sobre inconstitucionalidade
- Especialistas em privacidade avaliam que essas ordens podem enfraquecer as proteções da Primeira e da Quarta Emendas da Constituição dos EUA, que garantem a liberdade de expressão e a proteção contra buscas irrazoadas
- Albert Fox-Cahn, do Surveillance Technology Oversight Project, afirmou que há uma tendência de órgãos governamentais transformarem mandados de busca em redes digitais de varredura, o que considera inconstitucional e assustador
- Fox-Cahn disse que ninguém deveria temer uma visita da polícia apenas por ter visto um conteúdo sugerido pelo algoritmo do YouTube
- Ele considera que essas ordens têm um efeito inibidor tão grande quanto um geofence warrant, que exige dados de usuários próximos a uma cena de crime
- Em uma atualização de dezembro, o Google anunciou que tornaria tecnicamente impossível fornecer dados de localização em resposta a ordens de geofence
- Antes disso, um tribunal da Califórnia havia considerado inconstitucional um geofence warrant que abrangia várias áreas densamente povoadas de Los Angeles
- John Davisson, do Electronic Privacy Information Center, afirmou que o que uma pessoa assiste online pode revelar informações sensíveis, como política, paixões e crenças religiosas
- Davisson considera razoável a expectativa de que as autoridades não tenham acesso a esse tipo de informação sem um motivo substancial, mas entende que essas ordens derrubam essa premissa
1 comentários
Comentários do Hacker News
Há casos diferentes misturados aqui
No primeiro, a polícia ter enviado um vídeo e pedido informações dos espectadores é realmente grave, e fico me perguntando como um tribunal pôde autorizar isso
O caso seguinte eu não entendi completamente, mas parece que havia a suspeita de que o autor de um swatting tivesse assistido a uma transmissão ao vivo de uma câmera específica, e que a polícia apresentou critérios bastante restritos, como faixa de horário e outras características, então parece muito mais justificável
Eles pediram informações sobre um vídeo visto 30 mil vezes; mesmo supondo que todo mundo tenha visto o vídeo 10 vezes e que o alvo fosse de fato um dos espectadores reais — o que também não está claro — isso significaria que os direitos de 2.999 pessoas foram violados para encontrar uma pessoa
Blackstone provavelmente teria algo a dizer sobre isso[0]. É literalmente 30 vezes a razão de Blackstone, que influenciou muito os Pais Fundadores
Isso não parece justificável
Edição: erro de digitação
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
Em vez disso, eles tinham um canal de comunicação aberto com o alvo e estavam em uma situação em que podiam enviar vários links do YouTube para ele
A hipótese da polícia é que, se encontrassem um usuário que clicou em todos ou na maioria desses links, provavelmente esse usuário seria o alvo. Afinal, é improvável que um usuário aleatório tenha visto todos esses vídeos por acaso
Dito isso, pedir a lista bruta de todos os espectadores parece inconstitucional. É amplo demais e dá à polícia informação demais até sobre usuários que viram apenas um dos vídeos
Mas, se tivesse sido um pedido muito mais restrito, em que o Google identificasse o usuário-alvo e entregasse apenas as informações desse usuário, talvez fosse constitucionalmente possível
Por outro lado, mandados restritos que revelam informações de muitas pessoas já foram considerados constitucionalmente permitidos. Um exemplo clássico é um mandado exigindo de um motel os nomes de todos os hóspedes que fizeram check-in ou estavam registrados em uma determinada data, e isso já foi mantido várias vezes
O primeiro caso parece estranho
É bom que o Google esteja resistindo um pouco. Só me pergunto se fariam o mesmo por um britânico que não fosse americano; provavelmente não
“Segundo a ordem judicial, o governo instruiu o Google a fornecer os nomes, endereços, números de telefone e atividades de usuário de todos os usuários com Conta Google que assistiram ao vídeo do YouTube em questão”
Espero que isso deixe um pouco mais claro por que grandes empresas de tecnologia/redes sociais insistem em números de telefone em nome da “autenticação de dois fatores para segurança”, apesar de tantos ataques de SIM swapping
Você pode estar usando uma VPN, e talvez endereço ou nome não estejam na Conta Google, mas número de telefone quase certamente está. Se você usa Android, é ainda pior, porque é bem provável que consigam extrair também histórico de apps/navegação
Para grandes provedores, credential stuffing é um problema enorme, e exigir autenticação de dois fatores é uma mitigação importante. Em um ataque direcionado, fariam SIM swapping, mas isso aumenta bastante a dificuldade em relação ao credential stuffing comum
Não existe atualmente nenhuma obrigação legal para o Google manter os números de telefone de todos os usuários do YouTube, e o Sundar não vai para a prisão por causa disso
A ideia de que “há 10 anos algum gerente de produto do Google decidiu: ‘vamos criar um banco de dados de números de telefone dos usuários para nos preparar para uma possível futura solicitação de vigilância em massa por parte das autoridades, e vamos dizer aos usuários que é por segurança’” é, pensando bem, uma teoria da conspiração bem absurda
— Essa pessoa não existiu
Por favor, pense um pouco. Mesmo no caso de uma organização menor que originalmente só tenha nome e e-mail, por que ela iria querer um número de telefone? Eles não estão interessados em identificação de identidade. E, mesmo se estivessem, já têm e-mail e nome
É melhor tirar o chapéu de papel-alumínio
“Segundo a ordem judicial, o governo instruiu o Google a fornecer os nomes, endereços, números de telefone e atividades de usuário de todos os usuários com Conta Google que assistiram ao vídeo do YouTube em questão entre 1º de janeiro e 8 de janeiro de 2023”
Como curiosidade interessante, a Viacom também fez um pedido amplo semelhante em 2008, em um processo que quase destruiu o YouTube em seus primeiros dias[1]
Desta vez é o governo que está solicitando, e o Google tem potencialmente muito mais dados para fornecer
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Estou cada vez mais inclinado a achar que o anonimato não é mais garantido. Parece que devemos presumir que todo mundo sabe o que estou fazendo e quem eu sou.
Então talvez seja melhor simplesmente usar o nome real e reduzir muito mais as atividades online.
Ainda não aceitei isso totalmente, mas parece algo inevitável.
Para mim, a única opção é tornar privacidade e anonimato extremamente fáceis. Não para técnicos, mas a ponto de até avós sem familiaridade com tecnologia conseguirem usar.
Precisamos promover com força ferramentas que deem criptografia ao usuário sem que ele precise pensar nela, como o Signal. As pessoas querem privacidade e segurança, mas não sabem como obtê-las nem entendem o que faz seus dados vazarem.
A ironia é que a indústria que está criando esse problema é justamente aquela da qual nós participamos de forma central.
Eu ainda não estou pronto para engolir essa pílula, e também não estou convencido de que isso precise ser assim. Certamente podemos fazer algo. Nem que seja não construir essas coisas, ou construir defesas contra elas.
A indiferença não é diferente de apoiar esse avanço autoritário. Porque é isso que está acontecendo de fato.
Se você criar uma conta no HN acessando só via Tor, em um navegador com JavaScript desligado, e passar seus textos por um serviço de edição com IA, vai ser bem difícil rastrear de volta até você.
Por outro lado, se você faz streaming de si mesmo 16 horas por dia, um apelido não ajuda muito. No momento em que alguém disser “ei, eu conheço essa pessoa”, o segredo acabou.
Como tudo, no fim é uma questão de equilíbrio. Depende de quem está mirando em você e de quanto você gosta de fazer coisas online.
É uma pergunta a se fazer antes de se mudar para uma cabana na floresta e passar o dia inteiro escrevendo romances. Claro, a publicação teria de ser sob pseudônimo.
Ou seja, podemos nos planejar para o pior cenário, mas não devemos abrir mão do juízo e do valor social de que isso é comum demais, errado e anormal.
O rastreamento e as empresas que o executam são incrivelmente amplos e difíceis de vencer. Por exemplo, só anúncios no navegador pelos quais você passou rolando a página já podem ser suficientes para criar uma impressão digital.
“Se há algo que você não quer que ninguém saiba, talvez não devesse fazer isso em primeiro lugar.”
Isso pode ser lido como uma fala horrível do tipo “se você não tem nada a esconder, não tem nada a temer”, ou como um alerta razoável sobre o estado real das coisas.
Para quem ainda não conhece, vale conferir o Invidious: https://invidious.io/
Se a preocupação é identificação, provavelmente você vai querer usar uma instância pública; a lista está aqui: https://docs.invidious.io/instances/
Um artigo de alguns anos atrás, de certa forma relacionado:
Justice Department withdraws FBI subpoena for USA Today records ID'ing readers - https://news.ycombinator.com/item?id=27408647 - junho de 2021, 174 comentários
A polícia vasculhou pesquisas no Google para encontrar um suspeito e enfrentou seu primeiro desafio judicial
2022-06-30 https://news.ycombinator.com/item?id=31938350
Essa ordem foi pouco mais que uma formalidade. Quando o governo federal dos EUA realmente quer algo, é difícil imaginar uma empresa que consiga resistir e vencer.
Provavelmente o mesmo vale para outros grandes Estados-nação. O governo chinês provavelmente também teria mostrado ao Google que pode acessar todos os dados a qualquer momento para obter cooperação, e imagino que os EUA recebam acesso total a qualquer momento, por qualquer motivo.
Ainda assim, é preciso dar o mérito quando ele existe: https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
Basicamente, o Google continuava mandando a NSA se danar, então a NSA cavou uma brecha, grampeou fibra óptica e extraiu as comunicações em texto puro entre data centers. Na época, parece que havia bastante coisa importante ali.
Dentro de poucas semanas após o vazamento do MUSCULAR, todos os data centers do Google passaram a se comunicar entre si por meio de terminação SSL adequada.
Você também conhece a Aurora? Foi o incidente de 2009 em que uma organização militar chinesa invadiu o Google e vasculhou informações sobre dissidentes conhecidos. Eles foram expulsos rapidamente, e o grau em que o Google elevou seu nível de segurança depois disso foi praticamente sem precedentes na história da segurança da informação.
A NSA ou várias agências de aplicação da lei podem obter informações do Google quando seguem o devido processo legal, e talvez haja um pequeno número de infiltrados em agências de inteligência que às vezes repassam dados de dentro do Google como parte de acordos de compartilhamento de informações.
Mas a ideia de que a NSA acessa livremente qualquer coisa que quiser no Google é absurda.
Edit: além disso, isto nem é o governo federal; governos estaduais e locais têm ainda menos influência do que a pouca que o governo federal tem.
Sinceramente, se o acima for verdade, eu até poderia ficar contente. Tenho uma posição enviesada, porque detesto ladrões e extorsionários de verdade.