Seit 2016 hat Facebook Nutzer zwischen 13 und 35 Jahren dafür bezahlt, die App Facebook Research auf dem iPhone oder Android-Gerät zu installieren. Für die Teilnahme gab es laut Untersuchung von TechCrunch bis zu 20 US-Dollar im Monat plus Vermittlungsgebühren. Die App arbeitete als VPN und leitete den kompletten Netzwerkverkehr der Geräte über eine von Facebook kontrollierte Infrastruktur, wodurch sich Nutzungsdaten bis hin zu Inhalten auswerten ließen.
Verteilt wurde die App außerhalb des App Store über die Beta-Testdienste Applause, BetaBound und uTest; in den Unterlagen firmierte das Vorhaben als Project Atlas, ein früheres, ähnliches Programm trug den Namen Project Kodiak. Anzeigen bei Instagram und Snapchat richteten sich ausdrücklich an Teenager zwischen 13 und 17 Jahren, die für eine bezahlte Social-Media-Studie geworben wurden. Minderjährige mussten dafür eine Einverständniserklärung der Eltern vorlegen.
Root-Zugriff über Apples Enterprise-Programm
Der Sicherheitsforscher Will Strafach von Guardian Mobile Firewall analysierte die App im Auftrag von TechCrunch: Über das installierte Zertifikat kann Facebook grundsätzlich private Nachrichten in sozialen Netzwerken, Chats in Messenger-Apps, E-Mails, Websuchen, Surfverhalten und die Standortdaten anderer Apps mitschneiden. Die Daten liefen an vpn-sjc1.v.facebook-program.com, eine Adresse, die zu den IP-Bereichen des VPN-Dienstes Onavo gehört; die Domain facebook-program.com ist nach den MarkMonitor-Daten auf Facebook registriert, und im Code fanden sich zahlreiche Onavo-Restbestände. Das verwendete Enterprise-Zertifikat stammt ursprünglich aus dem Jahr 2016 und wurde am 27. Juni 2018 erneuert, nur Wochen nachdem Apple Onavo Protect wegen der Datenerfassung verboten und neue Regeln für das Enterprise-Programm eingeführt hatte.
Apple reagierte binnen eines Tages: Am 29. Januar 2019 blockte der Konzern die Verteilung der Research App, am Folgetag bestätigte eine Sprecherin von Apple den Verstoß gegen die eigenen Richtlinien. Sieben Stunden nach dem TechCrunch-Bericht kündigte Facebook an, die iOS-Version einzustellen; die Android-Version blieb zunächst verfügbar. Facebook wies den Vorwurf der Ausspähung zurück: Von einem geheimen Vorgehen könne keine Rede sein, schließlich trage die App den Namen Facebook Research App. Alle Teilnehmer seien in einem klaren Anmeldeverfahren um Erlaubnis gebeten und für die Teilnahme bezahlt worden; weniger als 5 Prozent der Teilnehmenden seien Teenager gewesen, alle mit Einverständnis der Eltern.
Hintergrund des Programms ist Wettbewerbsanalyse: Onavo Protect war zuvor schon als Datenquelle aufgefallen, mit der Facebook Nutzungsströme konkurrierender Apps nachvollzog. Parallel zu solcher Marktforschung baute Facebook das eigene Spieleangebot aus und stellte im März 2018 das Facebook Games SDK für PC-Spiele mit Streaming und Analytics vor.