Android-smartphone? Dan kan Facebook uw surfgedrag volgen, ontdekken onderzoekers


De apps van Facebook en Instagram kunnen ‘zien’ waar je op het internet bent geweest, ook al zou dat onmogelijk moeten zijn. Dat ontdekte een internationale groep onderzoekers, onder wie Tim Vlummens (KU Leuven).


Onderzoekers van de KU Leuven, IMDEA Networks en de Radboud Universiteit (Nijmegen) zijn merkwaardig internetverkeer tussen sommige websites en smartphones op het spoor gekomen. Ze publiceerden daarover dinsdag een (nog niet aan peerreview onderworpen) studie.

Normaal gesproken kan een app op een Android-smartphone niet zien welke websites je bezoekt met je browser, zegt professor Narseo Vallina-Rodriguez van IMDEA, in een videogesprek met het onderzoeksteam. Dat is zo om veiligheidsredenen. Maar Meta (het bedrijf boven Facebook en Instagram) heeft een methode om die beveiliging in Android te omzeilen.

De Facebook- en Instagram-apps kennen je identiteit, maar weten niet welke websites je bezoekt, zegt Vallina-Rodriguez. Die websites, van hun kant, kennen je identiteit niet. Maar Meta brengt die informatie heimelijk samen, heeft de professor nu vastgesteld. “Ze koppelen je web-activiteit aan je identiteit.”

Gunes Acar van Radboud Universiteit, één van de onderzoekers en degene die als eerste het systeem op het spoor kwam, noemt als voorbeeld Bol.com, een van de websites die Meta Pixel gebruiken. Doordat gegevens over je webgebruik naar de Facebook- en Instagram-apps worden doorgestuurd, weet Facebook welke artikelen je op Bol.com bekijkt, of je ze in je winkelkarretje plaatst en of je ze uiteindelijk ook koopt, zegt Acar.

De techniek wordt toegepast door Facebook en Instagram, maar niet door hun zuster-app Whatsapp, zeggen de onderzoekers. Meta doet dat nog maar sinds september 2024. Het enige andere bedrijf dat een heel gelijkaardige techniek gebruikt is het Russische Yandex, voor zover de onderzoekers konden achterhalen.

De methode werkt in combinatie met de Pixel-technologie van Meta, een technologie die miljoenen websites gebruiken om de effectiviteit van advertentiecampagnes te meten (Yandex heeft iets gelijkaardigs). Dergelijke websites sturen, zonder dat de makers van die website dat zelf weten, gegevens door naar de Facebook-app. Ze doen dat via een techniek die localhost sockets heet, en die moeilijk detecteerbaar is.

Het onderzoeksteam bekeek zo’n 100.000 in Europa populaire websites, en trof Meta Pixel op 16.000 ervan aan, zegt Tim Vlummens van de COSIC-onderzoeksgroep van de KU Leuven.


GDPR

De onderzoekers spreken zich niet uit over de vraag of wat Meta doet, legaal is. De Europese GDPR-privacywetgeving stelt wel dat gebruik van persoonsgegevens pas kan na geïnformeerde toestemming. Maar daar bestaan een aantal uitzonderingen op die een bedrijf kan inroepen. In het verleden kwam Meta daarvoor al herhaaldelijk in botsing met Europese privacy-instanties.

Tien jaar geleden werkten andere onderzoekers van COSIC mee aan een onderzoek naar hoe Facebook toen gebruikers op het internet volgde. Dat onderzoek was wereldnieuws en vormde de aanzet tot een jarenlang proces tegen Facebook in België.

Google, dat de appstore Play Store voor Android beheert, is niet gelukkig met de onthulling. Wat Meta en Yandex doen, is “duidelijk in strijd met onze beveiligings- en privacyprincipes”, luidt het in een reactie. “We hebben al maatregelen genomen om deze ingrijpende technieken tegen te gaan. We zijn een eigen onderzoek gestart en staan rechtstreeks in contact met de betrokken partijen.”


“Miscommunicatie”

Meta relativeert de situatie in een heel korte, weinig specifieke mededeling. “We zijn in gesprek met Google om een miscommunicatie aan te pakken in verband met de toepassing van hun gebruiksregels”, klinkt het. “Zodra we ons bewust waren van de bezorgdheid hierover, hebben we de functie tijdelijk stilgelegd terwijl we samen met Google de situatie proberen uit te klaren.”

Hoe kun je vermijden dat je browsegegevens worden doorgestuurd naar de Facebook-app? “De app van je smartphone verwijderen”, suggereert Vallina-Rodriguez. Gunes Acar van Radboud Universiteit vult aan dat het gebruik van een adblocker in je browser waarschijnlijk ook effectief is.


DS, 04-06-2025 (Dominique Deckmyn)