Одним из рекрутов был некто Квентин, тридцатилетний продакт-менеджер, завоевавший несколько различных наград за время учебы в Массачусетском технологическом институте и работавший после колледжа в Google[68]. Коллеги отзывались о Квентине как о человеке умном, доброжелательном с сотрудниками, вежливом – в общем, он был полной противоположностью характерному для Uber архетипу альфа-самца. Соревноваться с операционными менеджерами и пить пиво, стоя на голове, он бы не стал.
Среди определяющих личностных качеств Квентина коллеги выделяли энергичность и осторожность, с которой он взаимодействовал с миром и окружающими. Даже язык его тела был защитный; в разговоре он чуточку отворачивался от собеседника. А еще он долго и пристально, словно оценивая, смотрел на людей. Такой человек как нельзя лучше подходил для работы, связанной с оценкой рисков и безопасности.
В начале 2014 года в компании работало около 500 человек. К октябрю того же года их стало втрое больше, и с каждым днем штат только увеличивался за счет новых сотрудников. При Квентине численность специалистов, занимающихся рисками, безопасностью аккаунтов, предотвращением мошенничества, насилия и оскорбительного поведения, превысила 150 человек. Все работали в полную силу, но команда Квентина трудилась упорнее других. Вместе с коллегами он помог провести в Нью-Йорке несколько облав на наркодилеров, остановил распространение мошенничества в Китае и навел порядок в тех областях, где Uber терпел финансовые убытки и где ему грозили неприятности. Квентин принес много пользы.
Приступая к работе в марте 2014 года, команда Квентина столкнулась с весьма специфической проблемой. Двумя годами ранее Apple выпустил мобильную версию своей iOS, исключившую внешний доступ к уникальному идентификационному номеру, который есть у каждого айфона, так называемому номеру IMEI, или «международному идентификатору мобильного оборудования».
Обновление было фишкой Apple времен Тима Кука. В отличие от конкурентов – Google, Facebook и Amazon, – Apple не собирал персональную информацию от своих клиентов. Facebook и Google, как рекламные компании, были заинтересованы в получении сведений о жизни потребителей, чтобы направлять им таргетированную рекламу. С распространением метода идентификации мошенников применение цифрового наблюдения стало обычным делом для крупнейших корпораций Кремниевой долины.
Такая практика шла вразрез с принципами Apple, особенно в том, что касалось права личности на частную жизнь. Стив Джобс высоко ценил неприкосновенность частной жизни потребителей, но его преемник, Тим Кук, был фанатиком. Он считал, что пользователи Apple должны иметь полный контроль над ее цифровой версией. И если клиент Apple решал очистить свой айфон от информации, никто другой – ни родственники, ни компании, ни правоохранители – не должен иметь возможность найти потом на устройстве след этой информации. После очистки айфона на нем не оставалось ничего.
Непредвиденное появление обновления iOS стало для Uber очень плохой новостью. Китайские мошенники с удовольствием пользовались крадеными айфонами, чтобы создавать фейковые аккаунты и подписываться на сервис. Если компания обнаруживала фейковый аккаунт и блокировала его, злоумышленнику было достаточно очистить айфон от информации и создать другой новый аккаунт. Операция занимала несколько минут, и повторять ее можно было до бесконечности. Чтобы противостоять этой практике, Uber в течение нескольких месяцев собирал базу данных идентификационных номеров, которая позволяла компании отслеживать айфоны, использовавшиеся для создания новых аккаунтов. До появления обновления iOS 2012 в Uber могли быстро забанить любое устройство при повторных попытках создать с его помощью новые аккаунты. После 2012 года Uber утратил доступ к серийным номерам и вернулся к исходному пункту.
Однако в 2014 году команда Квентина отыскала обходной путь. После релиза мобильной версии iOS с полдюжины возникших ниоткуда компаний заявили, что им по силам обнаружить те самые священные идентификационные номера телефонов – IMEI. Квентин проверил некоторые из них и остановился на InAuth, Inc., небольшой фирме, базировавшейся в Бостоне. Добавив небольшой код в мобильное приложение, InAuth смогла отследить идентификационный номер айфона, установившего это приложение, с помощью методики фингерпринтинга, применяющейся в сфере безопасности. После «снятия отпечатков» Uber без труда определил, использовалось устройство для мошенничества или нет. Уже через несколько месяцев после начала работы в компании Квентин подписал контракт с InAuth.
Расчеты оправдались полностью. До того как Uber начал использовать InAuth, жульничество в Китае и крупных городах Азии еженедельно обходилось компании в десятки – а порой даже больше – миллионов долларов. После введения новой версии приложения с установленным кодом InAuth количество случаев мошенничества резко сократилось. При попытке создать новый аккаунт на уже отмеченном устройстве система защиты автоматически включала запрет. Так, после нескольких лет неудачной борьбы с мошенниками Uber нашел способ нанести ответный удар.
Возникла, однако, другая проблема: сервис InAuth вопиющим образом нарушил правила Apple в отношении личных данных пользователя. Поэтому все договоренности между Uber и InAuth требовалось держать в секрете. Если бы Apple узнал об этих договоренностях, обе компании столкнулись бы с серьезными неприятностями, вплоть до исключения приложения из айфона.
Рано или поздно, в какой-то момент своей карьеры, каждый программист в Кремниевой долине вступал в конфликт с запутанными правилами App Store. Каждые полгода Apple обновлял свое мобильное приложение. Создавать мобильный софт, особенно для Apple, значит находиться в состоянии постоянной тревоги и разочарования. Представляя в App Store новые приложения, разработчики ждут ответа, как паломники, явившиеся к дельфийскому оракулу. Случается, Apple соизволяет ответить. Но чаще он просто молчит.
Квентин и его команда обошли правила приватности, потому что понимали: выбора у них нет. Проблему мошенничества требовалось решить, и Apple не оставлял им иного варианта. Если бы Uber и InAuth смогли оставаться в тени и не высовываться, то, возможно, антимошенническая команда не привлекла бы к себе внимания.
Но удача отвернулась от Квентина. В середине ноября 2014 года BuzzFeed рассказал о бесславном обеде, на котором Эмиль Майкл, выступая перед журналистами, проговорился об исследованиях в области противодействия мошенникам147. Тогда внимание общественности сосредоточилось на Майкле.
Более серьезную ошибку в ходе «пропагандистского наступления» допустил Джош Морер, человек самоуверенный и несдержанный, занимавший должность генерального менеджера Uber в Манхэттене. В интервью на той же неделе он вскользь упомянул раннюю версию Heaven, функции, позволяющей следить за пассажирами во время поездки в режиме настоящего времени. Репортер договорилась о встрече с Морером в тот же день, и Морер хвастливо заявил, что следил за ней на протяжении всего пути. Это высказывание не осталось незамеченным.
Бомба взорвалась через восемь дней после публикации первого рассказа. Скандалы вокруг Uber привлекли внимание предприимчивого хакера из Аризоны по имени Джо Джирон, который декодировал приложение Uber для Android и обнаружил список разрешений на доступ, запрашиваемых приложением после установки148. Перечень оказался намного длиннее того, к чему привыкло большинство пользователей Uber: телефонная книга, камера, журналы текстовых сообщений, вайфай-соединения. Запрос на такие разрешения выглядел подозрительно для любого приложения, не говоря уже о такси-сервисе. Зачем райдхейлинговому приложению нужен доступ к сообщениям пользователя или камере? Речь могла идти о посягательстве на право клиента на частную жизнь. Uber интересовался не только журналистами, он хотел знать все о каждом пользователе и его телефоне.
Блог-пост вызвал эффект разорвавшейся бомбы. Некоторое время он обсуждался на форумах информационной безопасности и других интернет-сайтах, а потом попал на Hacker News, форум, популярный у инженеров и элиты Кремниевой долины.
Читатели форума не знали, что аризонский хакер наткнулся на секретную библиотеку кодов InAuth, вписанную в приложение Uber как часть тайной сделки. Чтобы «снять отпечатки» девайса, InAuth требовал намного больше информации, чем обычное приложение, и потому запрашивал всевозможные расширенные разрешения. На основании этих данных InAuth создавала профили девайсов для триангуляции IMEI-номера пользователей. Посторонние компании платили миллионы за хитроумный метод. А вот потребители, узнав, какую информацию они, сами того не ведая, предоставляют Uber, были весьма недовольны.
Члены же команды Квентина в штаб-квартире Uber встревожились. Общественности не полагалось знать ни о сделке, ни уж тем более о лицензированном ими коде. И что теперь делать? Вынести вопрос на широкое обсуждение? А если Apple начнет вынюхивать и высматривать? Совсем недавно Uber представил свою новейшую сборку iOS-приложения. И как теперь оправдаться перед Apple, если те узнают, что Uber нарушил правила?
Поначалу никакой реакции не было. Ответ последовал через несколько недель, когда App Store отклонил последнюю версию Uber. Команда Квентина попалась.
Как человек ответственный за App Store, Эдди Кью видел и лучшее, и худшее мира стартапов.
Эдди Кью отчитывался непосредственно перед генеральным директором Apple, и только перед ним. Взлетающие звезды-стартапы он видел прежде многих других в Кремниевой долине, потому что их приложения уже поднялись в его чартах. Когда такое случалось, Эдди Кью встречался с основателями. К 2014 году пятидесятилетний старший вице-президент Apple по программному обеспечению и сервисам знал о Трэвисе Каланике около года. Кью и Кук рано увидели потенциал Uber и оценили то, как компания использовала айфон-технологию. Кью и Кук встречались с Калаником после того, как Uber получил миллионы от Google Ventures и TPG.