Datalek in populaire quiz-app op Facebook maakt gegevens van miljoenen gebruikers onveilig

Om deel te nemen aan de testjes moeten gebruikers hun gegevens delen met de app, waaronder foto’s, statusupdates, geboortedatum en andere persoonlijke informatie. Die gegevens waren door een lek in de app toegankelijk voor derde partijen, volgens De Ceukelaire. 

“Wie ooit een testje deed, was mogelijk niet langer anoniem op het internet. Je moest nadien maar naar een andere website surfen en dan konden de ontwikkelaars van die andere website die je bezocht, via een veiligheidslek jouw gegevens bij Nametests bemachtigen”, zegt hij tegenover VRT NWS. Dat testte de ethische hacker ook zelf uit, met succes. Hij slaagde erin om via de app zijn eigen Facebookgegevens te bekijken met behulp van een zelfgemaakte website.

De Nametests-app wordt maandelijks door ongeveer 120 miljoen mensen gebruikt, waaronder Belgen. Gebruikers die de app hebben gekoppeld aan hun Facebookprofiel, kunnen die best verwijderen, raadt De Ceukelaire aan. 

Het is echter niet zeker of de gegevens ook daadwerkelijk misbruikt zijn. Volgens de uitgever achter de app, het Duitse Social Sweethearts, is dat niet het geval. "Het onderzoek wees uit dat er geen bewijs is dat de persoonlijke gegevens van de gebruikers werden gedeeld met ongeautoriseerde derde partijen en dat er dus geen bewijs is dat de data misbruikt is", aldus data protection officer Thomas Schwenke.

De Ceukelaire meldde het lek aan Facebook, die het probleem bevestigde. Zij namen contact op met Social Sweethearts en inmiddels zou het lek gedicht moeten zijn, zo zegt de socialenetwerksite in een reactie aan De Ceukelaire. Als beloning voor de melding, bood Facebook hem bovendien een geldsom van 4.000 dollar aan. 

De Ceukelaire stelde echter voor om het bedrag weg te schenken aan een goed doel, waardoor Facebook het bedrag verdubbelde en de 8.000 dollar doneerde aan Freedom of The Press Foundation.

Facebook heeft intussen gereageerd: "Een onderzoeker heeft ons geïnformeerd over de kwestie met de website nametests.com via ons Data Abuse Bounty Program. Dat is het premieprogramma voor gegevensmisbruik dat we in april lanceerden om meldingen over Facebookgegevens te stimuleren. We hebben samengewerkt met nametests.com om de kwetsbaarheid van hun website op te lossen, en dat is afgewerkt in juni.”