Hackers stelen locatie-data Tinder, Candy Crush en duizenden andere apps

De hack wordt geclaimd in de vorm van een Russisch bericht en screenshots die zijn gedeeld op XSS, een besloten Russische site waarop cybercriminelen opscheppen over hun daden. De hackers claimen dat bij de diefstal 'de persoonlijke data van miljoenen gebruikers' gemoeid zijn, meldt Wired. Om te bewijzen dat de hack echt is, hebben de hackers een klein deel van de gesloten data gedeeld. Onder die data zitten gegevens van onder meer Nederlandse gebruikers. Het gaat om redelijk precieze locatie-data van telefoons, soms ook gepaard met andere informatie die iets zegt over de identiteit van de gebruiker, verzameld op zowel Android als iOS.

Experts zeggen tegen onder meer Reuters dat de hack vrijwel zeker echt is. De hackers dreigen alle data op straat te gooien als de betrokken bedrijven niet binnen 24 uur reageren. Welke reactie zij precies verwachten is niet duidelijk, maar waarschijnlijk gaat het over de ogenschijnlijk privacy-onvriendelijke manier van het verzamelen van locatie-data.

Locaties stiekem via advertenties gevolgd

De mate waarin gebruikers van de duizenden getroffen apps gevolgd werden, lijkt namelijk nogal groot. Dat gebeurde hoogstwaarschijnlijk zonder dat gebruikers en zelfs app-makers dat in de gaten hadden. Het advertentie-systeem zorgde voor de locatie-tracking, en die gegevens werden allemaal op grote schaal verzameld en gecombineerd.

"Voor het eerst in het openbaar lijken we bewijs te hebben dat een van de grootste datamakelaars die verkoopt aan zowel commerciële als overheidsklanten hun gegevens lijkt te verwerven van de online advertentie 'bidstream'", zegt , Zach Edwards, senior dreigingsanalist bij cyberbeveiligingsbedrijf Silent Push. Die bidstream is het systeem achter online advertentieverkopen. Als je op een site of in een app reclame ziet, dan is dat meestal gerichte reclame. Hoe gerichter hoe beter voor de adverteerder, maar ook hoe beter de site of app betaald krijgt. Via allerlei trackers in reclames proberen online advertentie-bedrijven zoveel mogelijk over ons te weten te komen, zodat ze de advertentie-ruimte die wij zien voor zoveel mogelijk geld kunnen verkopen.

'Nachtmerriescenario'

Nu blijkt dus dat data-handelen op grote schaal 'meeluisteren' bij dat proces en daarbij de locatie-data van gebruikers constant noteren. "Dit is een nachtmerriescenario voor privacy, omdat dit datalek niet alleen gegevens bevat die zijn afgeschraapt van de advertentie-systemen, maar er is ook een bedrijf dat zich gedraagt als een wereldwijde honingdas, en doet wat het wil met elk stukje gegevens dat op zijn pad komt," zegt Edwards.

In december schikte Gravy Analytics nog in een zaak met de Amerikaanse marktwaakhond FTC, en dat ging over 'misleidende praktijken door locatiegegevens te verzamelen zonder de juiste toestemming'.

Meer nieuws over cybercrime en mis niets met onze Bright-app.