Phia și fiica lui Gates: bug-ul de 24 de ore, vechi de 7 luni

eea ce Phia a prezentat public drept un „bug de software descoperit în ultimele 24 de ore” era, potrivit unei anchete Bloomberg, un mecanism activ de cel puțin șapte luni — iar cofondatoarele Phoebe Gates (fiica lui Bill Gates) și Sophia Kianni știau despre el și îl încurajau intern, conform mesajelor Slack citate de jurnaliști. Cronologia ridică o întrebare simplă: de ce „bug-ul” s-a rezolvat exact în ziua în care un reporter Bloomberg a cerut un comentariu?

Prima anchetă Bloomberg a arătat că Phia, aplicația de „asistent de shopping AI”, revendica comisioane de afiliere pentru vânzări la care nu contribuise. Explicația oficială a companiei a fost clasică pentru Silicon Valley: o eroare tehnică, descoperită recent, remediată imediat. Un al doilea val de investigație, publicat de Bloomberg, arată însă altceva — funcția era cunoscută intern cu mult timp înainte, iar fondatoarele împingeau activ pentru extinderea ei.

Un „bug” cu nume și buton de pornit/oprit

Un dashboard intern arată că mecanismul de plasare automată a cookie-urilor era un feature flag denumit, care putea fi activat sau dezactivat de la distanță. Cercetătorul independent Ben Edelman l-a identificat în codul sursă al Phia sub numele enable_coupon_auto_drop. A fost activat pe 10 decembrie și dezactivat pe 7 iulie — exact ziua în care Bloomberg a contactat compania pentru prima dată. Cine beneficiază de o coincidență atât de precisă? Doi oameni familiarizați cu situația au confirmat că activarea butonului însemna funcția live, non-stop.

Bug-ul era, de fapt, modelul de afaceri

Un data scientist al Phia a estimat, într-un mesaj Slack din 7 iulie, că „cookie stuffing”-ul reprezenta aproximativ 51% din valoarea mărfurilor pentru care compania revendica comision în iunie. Un grafic intern de venituri arată același lucru: când funcțiile au fost dezactivate la începutul lui iulie, venitul mediu zilnic a scăzut de la circa 80.000 de dolari la undeva între 10.000 și 28.000 de dolari. Compania contestă calculul — un purtător de cuvânt a numit cifra de 51% o „analiză preliminară cu metodologie defectuoasă” și a spus că scăderea reflectă și o decizie voluntară de a reduce monetizarea. Dar când eliminarea unui „bug” îți evaporă majoritatea veniturilor, asta nu mai e o eroare — e chiar modelul de afaceri.

Ce înseamnă, de fapt, cookie stuffing

În lumea marketingului afiliat, editorii câștigă comisioane când un cumpărător interacționează intenționat cu un link sau un cupon. Plasarea de cookie-uri fără nicio interacțiune reală se numește cookie stuffing — practică interzisă practic în toate contractele rețelelor de afiliere, pentru că fură creditul (și banii) de la cei care au generat efectiv vânzarea. Potrivit Bloomberg, iată ce se petrecea intern înainte ca varianta oficială despre „bug-ul de 24 de ore” să fie scrisă:

• 18 decembrie: Phoebe Gates, îngrijorată că comisioanele de la Etsy erau prea mici, a cerut pe Slack confirmarea că plasarea automată a cookie-urilor era activă pe toate site-urile cu cupoane, astfel încât compania să monetizeze integral traficul spre finalizarea comenzii. Când un inginer a confirmat că cookie-urile erau setate și fără ca utilizatorul să atingă vreun cupon, ea ar fi insistat ca fiecare tranzacție să fie „captată” oricum. Compania susține că era vorba de o îngrijorare legată de un pop-up defect.
• Octombrie–iulie: o funcție denumită intern „passive trigger” redepunea un cookie Phia la fiecare două ore pe orice site din top 1.000, dacă utilizatorul interacționase vreodată cu extensia — potențial suprascriind referrals legitime ale altor editori.
• O a doua funcție seta un cookie dacă utilizatorul dădea click oriunde pe pagină după apariția pop-up-ului Phia, inclusiv când încerca să-l închidă.
• Sophia Kianni, avertizată că plasarea de cookie-uri la evenimente de tip „dismiss” violează politica Chrome a Google, ar fi propus ca argument că utilizatorii „încercau să deschidă” extensia, cu opțiunea de a anula taxele dacă apar reclamații — încurajând, totodată, echipa să continue prin orice metodă disponibilă. Compania spune că această funcție nu a fost implementată niciodată.

Mesajele Slack respective nu mai sunt vizibile pentru angajați, potrivit a două persoane familiarizate cu situația. Memory-holed, cum se spune.

Ben Edelman, consultant în publicitate cu 20 de ani de experiență în demontarea schemelor de marketing înșelător, a analizat codul sursă și datele comercianților, a confirmat concluziile Bloomberg și a descris un efort inginerit în mai multe etape pentru a infla veniturile Phia fără a livra nimic comercianților reali. Phia a refuzat să comenteze analiza sa.

Un scenariu deja cunoscut — cazul Honey

Practica amintește de scandalul Honey, extensia deținută de PayPal, care în 2024 a fost acuzată de exact același tip de furt de atribuire „last-click”, declanșând procese colective și o revoltă a creatorilor de conținut online. Diferența, spun analiștii, e că scandalul Honey a fost reconstruit din exterior. În cazul Phia, potrivit Bloomberg, amprentele fondatoarelor apar direct pe butonul de activare. Și cookie stuffing-ul nu e o zonă gri nouă — în celebrele procese de afiliere eBay, de acum un deceniu, practici similare au dus la recunoașteri de vinovăție pentru fraudă electronică la nivel federal.

Consecințe și o întrebare rămasă fără răspuns

Rețeaua de afiliere Impact.com a suspendat Phia din marketplace-ul său după primul articol Bloomberg și realocă comisioanele neplătite atribuite startup-ului de la 20 iunie încoace. Phia a început să ramburseze retaileri — iar cu cronologia extinsă până în decembrie, factura de rambursare are șanse să crească, nu să scadă. Nike, Gap și Nordstrom, comercianți afectați potrivit relatărilor, nu au răspuns solicitărilor de comentariu.

O întrebare rămâne suspendată în aer: Phia a anunțat pe 27 ianuarie o rundă de finanțare Seria A de 35 de milioane de dolari, condusă de Notable Capital, la o evaluare de 185 de milioane de dolari — la aproximativ șapte săptămâni după ce, potrivit relatărilor, mecanismul de auto-plasare a cookie-urilor era deja activ. Anunțul de lansare a evidențiat, printre altele, o creștere de 40% a valorii mărfurilor monetizate. Cifrele de creștere au impresionat investitorii. Problema e că, dacă informațiile Bloomberg se confirmă, o parte semnificativă din acea creștere ar fi putut apartine, de fapt, altcuiva.

Compania susține că toate funcțiile de misatribuire au fost eliminate pe 7 iulie, că analizează fiecare tranzacție și emite reverse-uri către partenerii de brand, și că angajează un responsabil de conformitate — un post a cărui necesitate, se pare, a devenit evidentă chiar în ziua în care numărul de telefon al Bloomberg a apărut în inbox. Compania adaugă că rămâne concentrată pe experiența de shopping a utilizatorilor, inclusiv noua funcție de „dulap digital”.

Context mai larg: episodul se adaugă unui tipar tot mai vizibil în economia startup-urilor susținute de capital de risc, în care metrici de creștere spectaculoase — folosite pentru a atrage finanțare la evaluări uriașe — se dovedesc, la o privire mai atentă, construite parțial pe atribuire discutabilă. Cine verifică, de fapt, aceste cifre înainte ca banii investitorilor să fie puși pe masă? Rămâne, ca de obicei, o întrebare pentru altă zi.

Sursă: ZeroHedge News (zerohedge.com)