Twitterは2FA用の電話番号を広告に再利用——FTCによる1億5000万ドルの制裁金

2013年以降、Twitterはアカウントの安全性を高めるため——パスワードのリセット、フラグが立てられたアカウントのロック解除、二要素認証の有効化のために——電話番号またはメールアドレスの提供をユーザーに求めた。同社はユーザーに対し、この情報はアカウントの保護に役立つだけで、それ以上ではないと伝えていた。

2014年から2019年にかけて、1億4000万人を超えるユーザーが自身の詳細情報を提供した。しかしTwitterは、これらの番号やメールアドレスをターゲティング広告にも使用し、広告主がそのデータを自社のリストやデータブローカーの情報と照合して、特定の人物に特定の広告を配信できるようにすることを伝えていなかった。

2022年5月25日、FTCと司法省は、Twitterに1億5000万ドルの民事制裁金の支払いを求める同意命令案を発表した。FTCは、この慣行が欺瞞的であり、FTC法、EU・米国およびスイス・米国のプライバシーシールド協定、ならびに別途Twitterに対しプライバシーとセキュリティの慣行について虚偽の表示を禁じていた2011年のFTC命令に違反すると主張した。

制裁金に加え、この命令はTwitterに対し、欺瞞的に収集されたデータから利益を得ることを禁じ、影響を受けたユーザーに対し、セキュリティ用のデータが広告のターゲティングにも使用されたことを通知することを求め、さらに電話番号に依存しない他の多要素認証の選択肢を提供することを義務付けた。

Twitterはセキュリティ用の電話番号を広告ターゲティングに再利用し、1億5000万ドルのFTC制裁金と、セキュリティデータを広告のために販売することの禁止という結果を招いた。

Twitterは、セキュリティのために収集したデータを無償の広告用入力情報として扱い、ユーザーがその再利用に気づかないと想定していた。

同社は、顧客情報の取り扱い方法について虚偽の表示をすでに禁じていた2011年の既存の命令を無視していた。

ある目的のために収集されたデータは、別の目的のために自由に使えるものではない——破られたセキュリティの約束は、同意を制裁金と裁判所命令に変えてしまう。

1億5000万ドルの制裁金は、その時点でFTCがこれまでに獲得した中で最大級のものの一つであり、セキュリティデータを広告に再利用するリスクを浮き彫りにした。この命令によりTwitterは、1億4000万人を超えるユーザーに対し、自身の電話番号とメールアドレスが広告のターゲティングに使用されたことを通知し、電話番号を必要としない認証方法をサポートすることを余儀なくされた。業界にとって、この事例は、データがどのように使用されるかについての約束が拘束力のあるコミットメントであることを改めて示した。特に、以前の同意命令がすでに記録に残っている場合にはなおさらである。