Uit een onbeveiligde database zijn mogelijk gegevens van maar liefst 235 miljoen Instagram-, YouTube- en TikTok-profielen gestolen. De database bevat onder meer foto's, namen, informatie over de leeftijd en het geslacht, contactgegevens en statistieken over het aantal volgers.

De data bemachtigen was een koud kunstje, want de database was niet met een wachtwoord beveiligd, zo valt te lezen op de website van beveiligingsbedrijf Comparitech.

Wat is er aan de hand?

Of de term 'datalek' in deze context van toepassing is, laat zich lenen voor verschillende interpretaties. De informatie is namelijk verkregen door een techniek die bekend staat als 'web scraping', wat het mogelijk maakt om geautomatiseerd enorme hoeveelheden data van websites te plukken. Dit is wettelijk niet verboden, maar bedrijven als Instagram en YouTube proberen deze praktijken wel tegen te gaan om de gegevens van hun gebruikers te beschermen.

Deze techniek wordt toegepast in de context van 'big data'. Door inzicht te vergaren in de gegevens van enorme hoeveelheden gebruikers kunnen ze bepaalde patronen in kaart brengen en inzichten verkrijgen in de online aanwezigheid en het gedrag van zeer veel mensen. Dat is waardevolle kennis, want er zijn talloze bedrijven geïnteresseerd in dergelijke data om in te zetten voor gerichte marketing.

Gegevens mogelijk misbruikt voor phishing

Onderzoekers van Comparitech troffen drie identieke kopieën van de database. De onderzoekers menen dat deze database is samengesteld door een bedrijf met de naam Deep Social, en in hun speurtocht belandden ze bij het in Hongkong gevestigde bedrijf Social Data. Dit bedrijf ontkent echter iets te maken te hebben met Deep Social, maar is vreemd genoeg wel op de hoogte van deze database.

Social Data erkent dat de database is gehackt, maar benadrukt daarbij dat de in de database opgeslagen gegevens in principe al openbaar toegankelijk waren. Als die bewering klopt, dan is dat in ieder geval een reden om nog eens extra kritisch te zijn op welke gegevens je openbaar via sociale media deelt.

De reden voor de waarschuwing schuilt 'm in de enorme omvang van de database. E-mailadressen kunnen bijvoorbeeld worden gebruikt voor spam en phishing, maar oplichters worden steeds slimmer, en buitgemaakte persoonlijke data kan bij wijze van 'social engineering' door oplichters worden gebruikt om het bedrog op geloofwaardige wijze vorm te geven. Denk aan het plegen van WhatsAppfraude: wie beschikt over foto's en contactgegevens van een Instagram-account, kan deze gegevens misbruiken om volgers van dat profiel te benaderen met hulpverzoeken, om eens iets te noemen.

Facebook: 'Schending van de regels'

Comparitech vroeg Facebook - eigenaar van Instagram - om een reactie. Desgevraagd antwoordt de techgigant dat het 'scrapen' van gebruikersinformatie een duidelijke schending is van de regels van het platform: 'We hebben de toegang van Deep Social tot ons platform in juni 2018 afgesloten en een juridische eis gestuurd die verdere dataverzameling door het bedrijf verbiedt.'

Bron: Comparitech / RTL Nieuws