TikTokin tietoturva ja tietosuoja – tämä kaikki on pielessä

Suojelupoliisi varoitti tänään TikTokin käytöstä hyvin selväsanaisesti. Lainaus Ylen jutusta:

Suojelupoliisi pitää mahdollisena, että lyhytvideosovellus Tiktokin käyttäjien tietoja vuotaa Kiinan turvallisuusviranomaisille.

Supo huomauttaa Ylelle, että Kiinan lain mukaan jokainen kiinalainen yritys ja henkilö joutuu tarvittaessa avustamaan maan tiedusteluviranomaisia.

Näin ollen Kiinan tiedusteluviranomaisilla on halutessaan pääsy Tiktokin käyttäjien tietoihin riippumatta palvelun omistajayrityksen Bytedancen näkemyksistä tai toiveista.

Varoituksesta huolimatta Supo ei ota kantaa, mihin kaikkiin puhelimen tietoihin TikTok-sovelluksen kautta esimerkiksi Kiinan viranomaisilla voisi olla pääsy. Siksi moni varmaan nyt ihmettelee, miksi TikTokista näin kovasti varoitetaan ja mitkä tiedot ovat oikeasti vaarassa.

Koulutan jatkuvasti kuntien ja muiden organisaatioiden tietosuojavastaavia sekä teen tietosuoja-arviointeja eri sovelluksista ja verkkopalveluista. Lisäksi olen kouluttanut eri tahoja myös informaatiovaikuttamisen tunnistamiseen ja siltä suojautumiseen. TikTokiin liittyvät tietoturva- ja tietosuojamurheet ovat tulleet eri yhteyksissä siksi hyvinkin tutuiksi.

Mitä tietoja TikTok kerää kännykästä?

Lähdetään liikkeelle siitä, mitä tietoja TikTok kertoo käsittelevänsä – missä ei suinkaan ole kaikki, mutta tästä saa käsityksen, kuinka paljon TikTok ikään kuin myöntää avoimesti. Tiedot löytyvät TikTokin tietosuojaselosteesta, joka on päivitetty viimeksi 19.11.2023.

Aloitetaan käyttäjän itsensä antamista tiedoista:

• Profiilin tiedot: syntymäaika, käyttäjätunnus, sähköpostiosoite ja/tai puhelinnumero, salasana. Tapauskohtaisesti muita tietoja kuten profiiliin lisätty elämäkerta ja profiilikuva.
• Käyttäjän sisältö: jaetut valokuvat, videot, äänitallenteet, livestriimit, kommentit, aihetunnisteet, palautteet, arvostelut sekä näiden metatiedot.
• Laitteen leikepöydän sisältö sovellusta käytettäessä (!).
• Sijaintitiedot, jos sijainti lisätään julkaistuun sisältöön.
• Suorat viestit: viestit muiden käyttäjien kanssa ja niiden metatiedot kuten lähetys-, vastaanotto- ja lukemisajankohdat. Chat-viestit kauppiaiden ja virtuaaliassistenttien kanssa.
• Yhteystiedot, jos yhteystiedoille annetaan käyttölupa: nimet, puhelinnumerot, sähköpostiosoitteet (!).
• Sosiaaliset verkostot, jos haet käyttäjiä muiden somepalvelujen kautta, TikTok tallentaan niistä löytyvät sinun ja verkostojesi jäsenten profiilitiedot (!).
• Ostotiedot:  tiedot ostoksesta tai maksutapahtumasta, kuten maksukorttitiedot, laskutus-, toimitus- ja yhteystiedot sekä ostetut tuotteet.
• Kyselyt, tutkimukset ja myynninedistämistoimet: annetut tiedot, jos osallistut kyselyyn, tutkimukseen, kampanjaan, kilpailuun, markkinointikampanjaan tai tapahtumaan, jonka TikTok järjestää tai jota se sponsoroi.
• Tiedot, jotka liittyvät yhteydenpitoon TikTokin ja käyttäjän välillä. Samoin TikTokin verkkolomakkeiden kautta välittyvät tiedot.

Lisäksi TikTok kertoo keräävänsä automaattisesti seuraavat tiedot:

• Tekniset tiedot: laitetta ja verkkoyhteyttä koskevat tiedot, kuten laitteen malli, käyttöjärjestelmä, näppäinpainalluksien tapa ja rytmi, IP-osoite ja järjestelmän kieli. Virheraportit ja suorituskykyä koskevat lokitiedot. Laite- ja käyttäjätunnuksen ”kaltaiset tiedot”, joilla tunnistetaan toiminta eri laitteilla (!).
• Sijaintitiedot: Arvioitu sijainti SIM-kortin ja IP-osoitteen perusteella. Lisäksi arkat GPS-sijaintitiedot, jos TikTokille annetaan sijainnin käyttöoikeus (!).
• Käyttötiedot: Miten Tiktokia käyttää, mitä sisältöjä katsoo, kuinka kauan ja usein käytät Tiktokia, miten käyttäjä on vuorovaikutuksessa muiden käyttäjien kanssa, hakuhistoria Tiktokissa sekä asetukset.
• Sisällön ominaisuudet: Tiktok tunnistaa esineitä ja maisemia, kasvoja ja ruumiinosia kuvista ja videoista sekä niiden sijaintia ja puheen sisältöä tekstin muodossa (!).
• Johdetut tiedot: TikTok päättelee esimerkiksi ikäryhmän ja sukupuolen sekä kiinnostuksen kohteita muista kerätyistä tiedoista (!).
• Evästeet ja vastaavat seurantatekniikat: TikTok kertoo käyttävänsä näitä kieliasetuksen muistamiseen, ja sen varmistamiseen, ettei samoja videoita näytetä useita kertoja, turvallisuussyistä sekä markkinointitarkoituksiin (!).

Lisäksi TikTok kerää muista lähteistä seuraavia tietoja:

• Mainontaan, mittaamiseen ja muihin kumppaneihin liittyvät tiedot: Mainostajat, mittaus- ja muut kumppanit jakavat tietoa Tiktokille muista sovelluksista ja verkkosivustoilla, kuten mainonnan mobiilitunnuksia, hajautetut sähköpostiosoitteet, puhelinnumerot ja evästeet, sekä tapahtumatietoja toiminnasta muissa verkkosivuilla ja sovelluksissa (!).
• TikTok Pixel -seurantaskriptin kautta suoraan kerätyt tiedot muilta verkkosivustoilta ja sovelluksista (!).
• Kauppiaiden, maksupalveluntarjoajien ym. välittämät tiedot: esim. maksuvahvistustietoja ja tuotteiden toimitustietoja.
• Kolmansien osapuolten alustojen välittämät tiedot: Jos käytät Tiktokiin rekisteröitymiseen Facebookia tai Googlea, jakavat nämä tietoja Tiktokille, kuten sähköpostiosoitteen, käyttäjätunnuksen ja julkisen profiilin. Synkronoidut yhteystiedot muilta alustoilta – myös silloin, kun joku toinen käyttäjä jakaa sinun tietojasi TikTokille (!). Jakopainikkeiden kautta TikTOkille välittyvät tiedot muilta alustoilta.
• Muut lähteet: TikTok ”saattaa” kerätä tietoja myös muilta organisaatioilta, yrityksiltä, henkilöiltä ja muilta tahoilta, esimerkiksi julkisista lähteistä. viranomaisilta, ammattijärjestöiltä ja hyväntekeväisyysjärjestöiltä (!).

Pelkästään tässä listassa, jonka TikTok avoimesti kertoo, on todella runsas kattaus tietoja käyttäjien profiloimiseen. Jokaista huutomerkillä (!) merkittyä kohtaa kannattaa miettiä tarkemmin, että haluaako todella kyseisten tietojen päätyvän TikTokille ja Kiinaan. Tästä listasta olisi jo yksinään paljon kysyttävää, mutta yritän pitää tämän lyhyenä, joten mennään eteenpäin.

Tietoturvayhtiön raportti: Mitä muita tietoja TikTok pyrkii saamaan puhelimesta?

Internet 2.0 -tietoturvayhtiö arvioi eri sovellusten tietoturvallisuutta tekemällään lähdekoodiskannerilla, joka yksinkertaisesti käy sovelluksen lähdekoodin läpi ja etsii sieltä tunnistettuja riskejä ja datankeräystoimintoja.

Vuosi sitten julkaistussa raportissa TikTok sai arvioiduista sovelluksista kaikkein korkeimmat riskipisteet. Se sisälsi 63 % tutkituista riskeistä. Lähes samoihin riskipisteisiin ylsi venäläinen VK-yhteisöpalvelu.

Saman yrityksen tarkempi TikTokin arviointiraportti vuodelta 2022 (PDF saatavissa archive.orgin kautta) listaa TikTokin pyytävän ja keräävän puhelimesta seuraavia tietoja:

• Laitteen tekniset tiedot: mm. WiFi-verkot, sarjanumero, SIM-kortin numero ja ICCID-tunniste, IMEI-numero, MAC-osoite, puhelinnumero, ääniviestin numero, GPS-status, operaattori (!)
• Laitteelle tallennetut käyttäjätunnukset (!)
• Pääsy laitteen leikepöydälle, joka voi sisältää esimerkiksi salasanoja, jos käyttäjä niitä kopioi (!)
• Laite- ja mainostunnisteet (!)
• Yhteystiedot: TikTok jatkaa luvan kysymistä, jos käyttäjä ei anna pääsyä heti (!)
• Sijainti: vähintään kerran tunnissa (!)
• Kalenterin sisällöt (!)
• Kuvat
• Laitteen muisti eli kaikki tiedostot (!)
• Asennetut sovellukset ja juuri käytössä olevat sovellukset (!)

Nämä kaikki tiedot ovat käyttäjän yksityisyyden ja tietoturvan kannalta kriittisiä. Osalla tiedoista (kaikki tunnistetiedot) käyttäjä voidaan yhdistää muihin tietolähteisiin, joista hänestä voidaan hakea lisää dataa profilointia varten. Osa tiedoista puolestaan voi olla suoraan esimerkiksi tietomurtoihin käytettäviä tai muuten tietojen saajatahoille käyttökelpoisia – esimerkiksi tiedusteluun.

Voidaan esimerkiksi kysyä, miksi TikTok haluaa pääsyn puhelimen kalenteriin ja koko leikepöydän sisältöön. Kumpikaan ei vaikuta tarpeelliselta lyhytvideoiden selailuun. Edelleen ihmettelen, miksi TikTok tarkkailee, mitä muita sovelluksia puhelimessa on asennettuna ja käytössä samaan aikaan.

Lisäys 11.1.: Havainto leikepöydän lukuoikeuksista liittyi raportissa TikTokin Android-versioon. Alla on kuvakaappaus, jossa pyydetyt oikeudet näkyvät tarkemmin. En osaa sanoa, pystyykö TikTok näillä oikeuksilla lukea leikepöytää myös tausta-ajossa – joku Androidin oikeuksia tunteva koodari voisi kommentoida tätä. Mutta ainakin tilanteessa, jossa TikTok-sovellusta käytetään, se pystyy leikepöydän sisältöä lukemaan. Tämä yhdistettynä tietoon käyttäjän muista sovelluksista tarjoaa helpon keinon urkkia niihin mahdollisesti liittyviä salasanoja. Kannattaa välttää salasanojen kopiointia ja liittämistä kännykässä.

Lisäys 19.1.: Leikepöydän sisällön ja asennettujen sovellusten tietojen pääsyoikeuksiin liittyvät riskit ovat ainakin osittain torpattu uudemmissa Android- ja iOS-versioissa. Tämän ansiosta TikTok ei saa ko. tietoja, jos laitteella on riittävän uusi Android-/iOS-versio. Tämä on hyvä muistutus, miksi kännykän ja muidenkin laitteiden käyttöjärjestelmä- ja ohjelmistopäivitykset kannattaa aina pitää ajantasalla. Jos huomaat, että laitteessasi on vanhempi käyttöjärjestelmä kuin Android 11 tai iOS 16.1, kannattaa päivitys tehdä pian.

Haavoittuvuus	Korjauksen iOS-versio	Korjauksen Android-versio	Lähteet
Leikepöydän sisällön luku	16.1 (2022)	13 (2022)	iOS  Android
Tiedot muista asennetuista sovelluksista	ei sallittu*	11 (2021)	iOS Android

* IOS-käyttöjärjestelmässä ei ilmeisesti ole voinut vanhemmissakaan versioissa saada tietoja muista laitteelle asennetuista sovelluksista. TikTok voi kuitenkin saa tietoja käyttäjän käyttämistä muista sovelluksista ja nettipalveluista muista lähteistä, joista käyttäjän tietoja voidaan hankkia – kuten edellä on kerrottu.

Kiinnostavaa on havainto, että TikTok lähettää kerättyjä tietoja lukuisille ulkopuolisille tahoille ja muille verkkopalvelimille. Seuraavat ovat tunnettuja tahoja ja tavanomaisena pidettyjä, vaikka nämäkin ovat käyttäjän näkökulmasta ylimääräistä datankeruuta:

• AppsFlyer
• Bolts
• Facebook Share, Facebook Analytics ja Facebook Login
• Google Firebase Analytics ja Google CrashLytics
• Pangle
• VKontakte SDK

Osa datankeräyksestä liittyy muiden somepalvelujen käyttöön (Facebook), osa sovelluksen käytön mittaukseen ja diagnosointiin (Google) ja osa markkinointidatan keräämiseen (AppsFlyer, Pangle). Mutta ainakin itseäni kiinnostaisi tietää, mitä tietoja välitetään venäläiselle Vkontaktelle.

Hätkähdyttävin tieto Internet 2.0:n tarkemmassa raportissa on, että sovelluksen käytön aikana se lähettää tietoja lukuisille TikTokin käyttämille verkkopalvelimille ympäri maailmaa, vaikka käyttäjätietojen kerrotaan säilytettävän Singaporessa ja Yhdysvalloissa.

Raportissa mainittuja palvelinten sijainteja:

• Australia: Sydney, Adelaide ja Melbourne
• Yhdysvallat: New York City, Las Vegas, San Francisco, San Jose, Monrovia, Cambridge, KansasCity, Dallas, Mountain View
• Indonesia: Utama ja Jakarta
• Malesia: Kuala Lumpur
• Ranska: Pariisi
• Singapore: Singapore
• Kiina: Baishan (!)

Raportin mukaan ei käynyt selväksi, mitä tietoja lähetettiin suoraan kiinalaiselle palvelimelle. Kiinalaispalvelimen ylläpitäjäksi mainitaan pilvipalvelu- ja tietoturvayhtiö nimeltä Guizhou Baishan Cloud Technology Co.

Lisäys 11.1.: Havainto kiinalaispalvelimen käytöstä liityi raportissa TikTokin iOS-sovellukseen.

TikTok on luonnollisesti pyrkinyt kiistämään nämäkin havainnot. Internet 2.0:n vastaus on selkeä: tiedot perustuvat siihen, mitä TikTok-sovelluksen lähdekoodista ja sovelluksen käytöstä on suoraan havaittu.

TikTok tosin myöntää omilla verkkosivuillaankin, että tietoja voidaan ”rajoitetusti etäkäyttää” konserniin kuuluvien yksiköiden maista käsin, ja tässä yhteydessä mainitaan myös Kiina.

Tämän listan jatkoksi voidaan mainita muidenkin tahojen havaintoja kuten se, että TikTok vakoilee sovelluksen sisäisessä selaimessa kaikkea toimintaa näppäinpainalluksia myöten, ja että videoiden jakolinkkejä käytetään linkki- ja selaintunnisteiden avulla sen skannaamiseen, kuka jakaa videoita kellekin esim. pikaviestisovellusten kautta.

Sanalla sanoen TikTok on melkoisen täydellinen sovellus vakoiluun. Supon tämän päiväinen varoitus toivottavasti viimeistään tekee yhdessä edellä kerrotun kanssa asian täysin selväksi.

Mitä jos kuitenkin haluat käyttää TikTokia?

Olen ollut melko ehdottomasti TikTokin käyttöä vastaan edellä kuvattujen tietosuoja- ja tietoturvaongelmien vuoksi sekä sovelluksen lapsille ja nuorille sopimattoman sisällön vuoksi. Viime kirjoituksessa kuitenkin myönnyin suosittelemaan TikTokia mm. tiedotusvälineille, jotta sovellusta käyttävät nuoret saisivat disinformaation lisäksi myös luotettavia uutisia ruuduilleen.

Jos siis haluat käyttää TikTokia, tee se näin:

A) Nettiselaimella

• Ilman kirjautumista
• Älä anna mitään suostumuksia, joita TikTok pyrkii kysymään
• Tyhjennä selaimen eväste- ja muu muisti käytön jälkeen
• Näin tehtynä TikTok ei juurikaan pysty profiloimaan sinua ja sen algoritmi toimii ns. puhtaasti ilman käyttäjädataan perustuvaa suosittelua.
• Huomaa, että selaintunnisteiden avulla TikTok pystyy yhdistämään ei-kirjautuneen käyttäjän TikTok-käyttäjätunnukseen, jos TikTokia on aiemmin käytetty samalla selaimella kirjautuneena. Tällöin ei-kirjautuneena ei ole suojassa TikTokin profiloinnilta.

tai

B) Erillisellä kännykällä

• Älä yhdistä kirjautumista muihin somepalveluihin, vaan kirjaudu suoraan sähköpostiosoitteella tai puhelinnumerolla (huomaa, että nekin tosin ovat tunnistetietoja, joilla TikTok hakee sinusta lisätietoa muista lähteistä).
• Älä anna TikTokille mitään tarpeettomia käyttölupia – älä varsinkaan yhteystietoja.
• Älä tallenna samaan puhelimeen muiden ihmisten yhteystietoja tai muita henkilötietoja.
• Älä tallenna samaan laitteeseen myöskään muita tärkeitä tai salaisia tietoja/tiedostoja.
• Älä käytä samaa puhelinta mihinkään muihin työasioihin.
• Älä asenna puhelimeen muita sovelluksia, joiden kautta laitteelle voisi tallentua edellä mainittuja tietoja, jotka voisivat siten edelleen välittyä TikTokille.
• Älä lisää laitteelle muita käyttäjätunnuksia.
• Älä kirjaudu laitteella verkkoihin, joissa on salassa pidettäviä tietoja saatavilla sillä tunnuksella, jolla verkkoon kirjaudutaan.
• Kun TikTokia käytetään kirjautuneena, sovellus kerää käyttäjästä dataa kuten edellä on kuvattu ja algoritmi alkaa suositella sisältöjä sen mukaisesti.

Näillä kahdella tavalla TikTokin käyttö on kohtuullisen turvallista sisältöjen julkaisuun tai katsomiseen.

(Artikkelikuva: Bing / DALL-E 3 eli tekoälyn luoma)