原标题：还原Facebook数据泄漏事件始末，用户信息是如何被第三方获取的？
参与 | 张蔚敏 林椿眄
据美国《纽约时报》和英国《观察者报》消息，一家数据分析公司（ Cambridge Analytica ）通过收集了 5000 万选民的 Facebook 个人资料，并利用这些资料构建了一个强大的软件程序来预测和影响投票箱中的选择结果！据称，该数据分析公司与特朗普赢得大选、英国成功脱欧的竞选团队均有合作。这也是 Facebook 这家科技巨头有史以来最大的数据泄露事件之一。
▌ 1、数据泄漏事件始末
日前，一位爆料者向 英国《观察者报》透露：剑桥分析公司 ( Cambridge Analytica ) 是如何利用 2014 年初获取的未经授权的个人信息，来构建一个可以描述美国选民个人特征，并以个性化政治广告为目标的系统。据称，剑桥分析公司由对冲基金亿万富翁罗伯特·默瑟 ( Robert Mercer ) 拥有。
与剑桥大学学者合作获取数据的 Christopher Wylie 告诉 《观察者报》 ：“我们利用 Facebook 收集了数百上千万用户的个人资料，并建立起一个分析模型，从而利用这些现有的用户信息，精确的瞄准他们‘心魔’，来获得他们内心的真实需求（ 达到左右其观点的目的 ）。而这也是剑桥分析这个公司建立的意义所在。”
从英国《观察者报》报道中 Facebook 声明确认的文件显示，到 2015 年底，该公司发现信息收集的规模是空前的。 然而，当时它并没有提醒用户，只采取了有限的步骤来恢复和保护 5000 多万人的私人信息。
《纽约时报》 报道说，在网上仍然可以找到被剑桥分析所收集的数据副本；其报道小组查看了一些原始数据。
这些数据是通过一个名为“ thisisyourdigitallife ”的第三方应用程序来收集的，这个应用程序由学者亚历山大·科根（ Aleksandr Kogan ）在2014年创建。这款程序主打噱头是“测性格，领奖金”。通过他的公司“ 全球科学研究 ” ( GSR ) 与剑桥分析的合作，成千上万的用户接受了性格测试，并且同意其收集他们的数据用于学术研究。
为了吸引更多的人参与，他们还为用户提供 5 美元的奖金。用户只需回答一些娱乐性质一样的不疼不痒的测试问题，就可以获得奖金，而前提是，在做性格测试之前需要把部分 Facebook 信息授权给这个第三方程序，这其中不仅包括你的头像昵称，还有好友列表和好友的一些状态信息！
从英国《观察者报》报道中的一份日期为 2014年6月4日的合同中显示，该合同确认 SCL ( 剑桥分析公司的附属公司 ) 与 GSR 达成了一项完全以收集和处理 Facebook 数据为前提的商业协议。剑桥分析在数据收集方面花费了近 100 万美元，从而获得了 5000 多万份可与选民名单相匹配的个人简介。然后，它利用测试结果和 Facebook 数据构建了一个算法，用来分析 Facebook 个人简介并确定与投票行为相关的个性特征。
算法和数据库加在一起，已经成为了一个强大的政治工具。 它可以从一场测试中找出态度摇摆不定的选民，并针对他们制作更有可能引起共鸣的定制化消息。
“合同规定：这套训练集的最终产品是从 Facebook 个人资料信息中创建一个可以理解个性化的 ‘黄金标准’ 。 它承诺创建一个数据库，包含 11 个州的 200 万个“匹配”配置文件，可识别并绑定到选举登记簿，并且还有进一步的可扩展空间。”
在当时，5000 万用户代表着 Facebook 整个北美地区活跃用户的三分之一，同时也意味着潜在美国选民数量的四分之一。然而，当被议员问及他公司的数据是否来自 GSR 时，Nix 表示 : “ 我们与 GSR 有关系。他们早在 2014 年就为我们做了一些研究，但这些研究目前毫无结果，因此答案是否定的。”
剑桥分析公司表示，它与 GSR 的合同规定， Kogan 在收集数据时应征求知情同意，并且也相信他们一定会这样做。
GSR 的一位发言人表示，GSR “ 由一家国际知名机构的知名学者领导，该机构向我们就其向SCL 选举许可数据的法定授权上作出过明确的合同承诺 ” 。
他说，在此期间，附属公司 SCL election 与 Facebook 合作，以确保它没有任何 “ 蓄意违反 ” 的条款，并提供了一份签署声明，表明所有数据和衍生品都已被删除。剑桥分析公司还表示，2016 年总统大选没有使用这些数据。
Steve Bannon 的律师表示，他对此没有任何评论，因为他的委托人“对指控一无所知”。他补充说 : “ Bannon 先生第一次听到这些报道是过去几天媒体调查的结果 。”
在剑桥分析被爆滥用用户数据事件之后的 4 天里， Facebook 相关高层管理人员并没有对此事件做出任何回应，直到周二， Facebook 发表声明称：“ CEO 扎克伯格和 COO 雪莉·桑德伯格以及他们的团队认识到这次事件的严重性，并且正在夜以继日地工作，以便获取所有的事实真相，并采取相应的措施。” 在接受 《 The Daily Beast 》 采访时， Facebook 表示：“发生这样的事件，整个公司都感到十分愤怒，我们有一种被蒙骗的感觉，我们一直致力于大力保护用户信息的政策，同时我们也会采取一切必要措施，来确保用户信息的安全。”
因对 Facebook 对剑桥分析披露的回应越来越担心而保持沉默，CEO 扎克伯格和 COO 桑德伯格因此受到了批评。
美国《连线》杂志周二报道称，该问题在 Facebook 内部引起争议：
随着周末风暴的兴起，Facebook 的高管，包括 CEO 扎克伯格和COO 雪莉·桑德伯格，策划并讨论到深夜。
他们知道公众正在抨击他们，但他们也相信剑桥分析公司的错误远远超过他们。 尽管如此，他们还面临四大难题。 他们如何收紧系统以确保这一切不再发生？ 他们应该如何处理所有关于请求扎克伯格作证的要求？ 他们是否应该起诉 Cambridge Analytica？ 他们应该怎样处理心理学家 Joseph Chancellor ，他曾帮助创建了 Kogan 的公司，并且现在还在 Facebook
有消息称，在本周五公司为员工定期举行的问答环节上，扎克伯格可能就此事向员工发表讲话。
事实表明，Facebook 的 5000 万用户数据的确被泄漏，营长今天就扒一扒：如何获取 Facebook 用户信息。这里有一份官方指南，本指南演示了从 Facebook 获取信息，并使用 Graph API 将信息发布到 Facebook 平台上的相关知识。
Graph API Explorer 是一款应用程序，能够让你探索 Facebook 的社交图谱。获取数据（用户信息，评论，照片），发布到用户时间表和页面，并使用你的应用进行测试，最终获取你已测试的操作代码示例。
你的所有访问请求都必须包括如下三个操作：
- 具有所需权限的访问令牌
这种查询请求将搜索我的用户节点，包括我的 Facebook 用户 ID 和名称等信息。这些个人信息是公开或部分公开的。
要运行此 GET 请求，请从 Get Token 下拉列表中选择一个用户的访问令牌。
单击“获取访问令牌”按钮而不需要检查任何框（下一示例中将展示更多关于添加用户权限的信息）。访问令牌的默认权限是允许用户访问公共配置的文件信息。
按照你的方式继续并点击提交。资源管理器将在查询窗口的下方返回相应的用户响应。
在上面的例子中，你检索了与你有关的一些公共数据。 现在，在这个示例中将演示如何获取你相关的私人数据，如你的生日及你的身份信息等。
想要获取用户访问令牌，首先必须要登录你的 Facebook 账号，随后系统将审阅你所发送应用信息，并根据你的需要提供相应的访问权限。值得注意的是，用户提供的信息只能包含应用所需的权限，其他额外的权限请求都将被系统拒绝。具体演示如下：
点击 Get Access Token 按钮获取访问令牌并根据提示继续操作。
添加新字段：如果你是 Graph API 的新手，那么可能对一些用户节点字段不太熟悉。 你可以在节点面板中单击 Search for a field 的+按钮来查看并选择新的字段。
如果你已经接触过一些用户节点字段的话，你可以直接将它们添加到请求路径中。请求路径设置为：GET / me？fields = id，name，about，birthday
如果你还没有在 Facebook 上填写有关个人信息，那么该区域在“节点”面板中将呈现灰色，且在用户响应中不会返回有关个人信息的行。
想要查看可用于节点的字段列表吗？ 你可以从资源管理器中查看节点的元数据。
那么系统将返回字段名称，描述和类型。
你已经测试了上面的代码，系统也返回了你所需要的结果。 现在，我们使用 Android，iOS，Java，PHP 或 cURL 示例代码来获取用户响应，你可以点击窗格下方的 Get Code 按钮来获取这部分的代码。
将此示例代码直接插入到你的代码中将不会生成相应的功能。 这些代码示例只是用来帮助你，构建应用程序所需的代码。
现在，我们将访问你的相册。你需要将相册字段添加到你的请求中。 在这个例子中，我们删除了个人信息，生日，用户id和名字等字段。
如上界面所示，你只得到用户的ID信息，面板中的相册字段是灰色的。 产生这种情况的原因可能是用户没有可用的照片，因此并没有填写相册的信息。或者，由于你的访问令牌中不包含访问此数据所需的权限而导致的访问权限问题，也有可能会发生这种情况。 幸运的是，资源管理器能够帮助你。 单击响应窗格上方的 1Debug Message ( Show ) 链接，来查看可能缺少此数据的原因，界面如下所示。
你需要拥有一个新的访问令牌，该令牌需要具有新的访问权限 user_photos。 点击 Get Token 并获取用户的访问令牌。 请注意，由于上次的权限请求仍处于选中状态，因此 建议你在这处只选择你所需要的权限。 在这个例子中，你只需要 user_photos 的访问权限。 现在重新运行该请求，系统将会返回你的相册。
如果你对权限级别或访问令牌类型有疑问，请单击访问令牌框中的圆圈图标。 此框将显示你所发出请求的应用程序，发出请求的用户，令牌的有效期，到期时间和范围等信息，如下界面所示。
虽然此请求限制了响应窗格中所显示的项目数量，但仍然可以使用基于光标的分页操作来访问其他相册。 请注意，在请求的底部，这里有一个名为 paging 的字段，其中有一个 cursors 和 next 字段。 Cursors 用于标记所返回信息的首尾字段。 点击下一个字段中的链接将显示以下 5 个选项，如下界面所示。
通过点击下一个和上一个链接，你就能在无需运行多个请求的情况下查看所有相册中较小的块。 需要注意的是，光标会随着时间而改变，所以不要在代码中依赖这些光标。
此外，我们还使用基于时间的分页操作，找到特定时间段内的照片。 对于这种访问方式，首先你需要获取一些已发布新闻照片，无论是你自己的，或你朋友的，或是被你所标记的照片，并将查询的时间设置为从 2017 年 9 月 1 日（ 自 发布）至 2017 年 9 月 30日（ 已发布直到 ）。
此外，你的用户访问令牌仍然有效，因为它具有 user_photos 权限，但是系统只会返回 9 月份的照片。
如果你已经是Facebook的老用户，你可能会有很多的相册，这里面包含大量的信息。现在，让我们将相册的数量限制为5。将.limit（5）添加到查询中，如下界面所示。
