Twitter: mailadressen en telefoonnummers kunnen gebruikt zijn voor advertenties

De e-mailadressen en telefoonnummers van Twitter-gebruikers, die bedoeld zijn voor het gebruik van bijvoorbeeld tweefactorauthenticatie, zijn wellicht ingezet om gebruikers op het platform gerichte advertenties voor te schotelen.

Twitter stelt dat het kort geleden heeft ontdekt dat de e-mailadressen en telefoonnummers 'onopzettelijk' gebruikt zijn voor de systemen voor Aangepaste doelgroepen en Partner Audiences. Adverteerders kunnen hiermee gericht advertenties aan gebruikers voorschotelen gebaseerd op de marketinglijsten, waarop bijvoorbeeld de e-mailadressen en telefoonnummers zijn verzameld. Ook kunnen adverteerders hun advertenties gericht aanbieden aan groepen die door derden zijn aangedragen.

Volgens Twitter ging het mis toen een adverteerder zijn marketinglijst uploadde. Twitter zegt dat het toen wellicht mensen op zijn platform heeft gekoppeld aan die lijst, gebaseerd op het e-mailadres of telefoonnummer die de gebruikers inzetten voor beveiligingsdoeleinden. Het berichtenplatform zegt dat dit een fout was en biedt zijn excuses aan.

Hoeveel mensen direct geraakt zijn door deze fout kan Twitter niet zeggen, maar volgens het bedrijf is er nooit persoonlijke data met externe partners gedeeld of welke derde partners dan ook. Twitter zegt dat er stappen zijn ondernomen waardoor een dergelijk voorval niet meer zou moeten voorkomen. Sinds 17 september worden e-mailadressen en telefoonnummers die voor beveiligingsdoeleinden verzameld zijn niet meer gebruikt voor adverteren, aldus Twitter.

Facebook kreeg een jaar geleden flink wat kritiek nadat het op soortgelijke wijze telefoonnummers voor beveiliging bleek te gebruiken voor het richten van advertenties. Dat gebeurde ook als de gebruikers de gegevens niet zelf aan Facebook hadden verstrekt. Dat gebeurt als een gebruiker zijn contacten deelt met het telefoonnummer van een andere persoon met een Facebook-account; Facebook koppelt dat nummer dan alsnog aan die account, ook al heeft de eigenaar van dat account zelf niets gedeeld.

Gericht adverteren met telefoonnummers verloopt in principe via een eigen lijst met telefoonnummers die bedrijven hebben. Ze krijgen de telefoonnummers van Facebook- of Twitter-gebruikers niet te zien, maar ze kunnen zelf hun lijst aanleveren en als er overeenkomsten zijn, krijgen die mensen een advertentie voorgeschoteld.

Reacties (53)

En het leuke van dit alles is het volgende: wil je je account beter beveiligen door middel van 2FA, zelfs al wil je puur OTP gebruiken en geen SMS code of wat dan ook, dan moet je bij vrijwel elke partij alsnog je telefoonnummer geven omdat je anders niet verder komt. Je krijgt in feite een keuze die je nooit zou moeten maken, namelijk je account beveiligen of je huidige mate van privacy behouden.

Dit is dus precies waarom ik nergens 2FA gebruik. Ik ben me als techneut prima op de hoogte van de verbetering in beveiliging, maar ik wil bedrijven gewoon geen extra gegevens geven die ze niet nodig hebben. Een telefoonnumer is er daar een van. Voor email maak ik altijd aliassen (lang leve de eigen mail server), maar een telefoonnummer heb ik er maar 1 van en kun je niet zomaar wijzigen zonder een puinhoop te creëren. Er blijkt gewoon iedere keer dat geen enkel bedrijf netjes met gegevens om kan gaan. Als ze het al niet bewust jouw gebruiken voor marketing is er nog wel het groeiende risico op datalekken.

Als programmeur zie ik niet hoe je nummers die puur voor 2FA bedoeld zijn “per ongeluk” op een spamlijst kunt zetten. Dat zou toch een apart veld in de database moeten zijn? Aangezien twitter een social media platform is en dus in hetzelfde bakje valt als Facebook kan ik er alleen maar vanuit gaan dat ze het expres hebben gedaan en nu terugkrabbelen na ophef.

[Reactie gewijzigd door kozue op 9 oktober 2019 10:07]

Voor email maak ik altijd aliassen (lang leve de eigen mail server),

Dit doe ik dus ook.

Ik heb een catch-all email adres draaien waar ik gewoon mijn mail op afhandel. Bij een willekeurig bedrijf geef ik mijn email adres op als: $[e-mail] . Op die manier weet ik het meteen als zo'n bedrijf mijn gegevens doorverkoopt omdat de spam dan gericht is aan $[e-mail] . Op dat moment kan ik ook gewoon inkomende mail aan dat email adres blokkeren en dan ben ik er van af.

Voor bedrijven waarvan ik weet dat er toch alleen shit vanaf komt heb ik [e-mail]. Dit email adres geef ik dan ook altijd op bij bedrijven. Levert nog wel eens interessante gesprekken op

Met Gmail kun je dit doen:

[e-mail]

dus bijv
[e-mail]

alles komt dan gewoon binnen op [e-mail], maar mocht je ooit gespammed worden dan heb je meteen aantoonbaar bewijs om de dader aan te pakken.

Ik gebruik dit al jaren voor mail op GMail, maar de laatste paar jaar blijken spammers slimmer te worden en strippen ze de local suffix.

Wat nu overblijft is de volgende truc; gebruik van de puntjes. Dus:

[e-mail]

is hetzelfde als

[e-mail]

en zo kan je binair een (beperkt) aantal codes maken, afhankelijk van de lengte van je gebruikersnaam, en die opslaan in je password manager om zo later de link te maken.

Deze automatische aliasing van puntjes is specifiek voor GMail.

[Reactie gewijzigd door gertvdijk op 9 oktober 2019 10:49]

Heb je hier meer informatie over? Hoe heet dit precies?

https://support.google.com/mail/answer/7436150?hl=en

Dit is echter niet waterdicht...een spammer kan heel gemakkelijk bij al zijn adressen de "+" en alles wat er achterkomt verwijderen.
Volledig custom alliasen zijn een stuk beter, maar wel iets minder convenient.

Helaas zijn er vaak nog genoeg formulieren online die geen nette RFC5322-complient check hebben en de + stomweg weigeren...

Daarom is de puntjes truck van hierboven wel handig. [e-mail] bv

Klopt, maar met een 6 lettiger gmail-adres én veel meer websites, ga ik niet onthouden welke combinatie van puntjes bij welke site hoort, haha. (ok, passwordmanager zou 't wel kunnen)

Catch-all is iets anders dan aliassen aanmaken. Werkt je catch-all email systeem? Ik had het idee om hetzelfde te doen, maar catch-all werd op meerdere websites sterk afgeraden door de enorme hoeveelheid spam mail die je zou krijgen. Bots zouden veelgebruikte termen voor email adressen zoals 'contact' or 'admin' proberen om emails naar te sturen. Bij catch-all is het natuurlijk altijd raak.

Ik maak iedere keer een alias-adres aan. Catch-all is mij in het verleden niet zo goed bevallen.

Het is prettig om te kunnen nagaan welk bedrijf slecht met je gegevens omgaat. Het is NIET fijn om te moeten constateren dat een meerderheid van de bedrijven er vroeg of laat een puinhoop van lijkt te maken. In alfabetische volgorde: Adobe, Linkedin, MySpace, en nog veel meer sites waaronder verschillende kleine- en middelgrote webshops hebben te maken gehad met een inbraak of er is een keer sprake geweest van een intern lek. De statistieken zien er wat dat betreft niet goed uit. De gelekte accounts zijn op dit moment in de meerderheid en de nog niet gelekte accounts vormen een minderheid. Het internet van vandaag de dag voelt voor mij aan als het wilde westen.

Buiten je catch all kun je natuurlijk ook filteren. Bv doorlussen naar een spam box.
Ik geef idd ook [e-mail] op, zodat je weet wanneer dit bedrijf doorverkoopt of later spam stuurt.
Eigen server, mijn filters:
[e-mail] naar eigen mailbox.
[e-mail] naar hun eigen mailbox.
[e-mail] naar de spambox.
[e-mail] naar de catchAll mailbox.

Hiermee kun je voorkomen dat je catchall volloopt. Soms ff email adressen toevoegen aan de spam filter. Thats it.

Om voor elke webshop een ander email adres aan te maken is wel even een klusje.
Ik heb een aantal email adressen gemaakt en bij elke webshop/bedrjf gebruik ik afkortingen in mijn initialen
Dus B.O.L. Jansen - M.M. Pietersen - Tweak de Vries alle mail ontvang ik op [e-mail]
Iets minder omslachtig, het is alleen lastiger om dan voor 1 een blokkade op te werpen.
Ik doe dit trouwens al sinds 1997 en heb slechts 2x mee gemaakt dat er door een derde partij misbruik van is gemaakt. Dus ik denk niet dat winkels massaal hun email adressen aan derden geven

En dan log je op een dag in op je gmail en zie je dit.


"Voor u eigen veiligheid is het belangrijk dat wij u telefoonnummer hebben, voer nu u telefoon nummer in"

Met geen optie om het te skippen.

Dat is me nu al met zoveel diensten overkomen. Je gebruikt ze jaren zonder dat je hun je telefoonnummer hebt gegeven en al krijg je regelmatig de melding dat je je telefoonnummer moet ingeven er is altijd een overslaan knop. En dan op een dag is die overslag knop weg en ben je nu verplicht om een telefoonnummer op te geven ... of anders heb je geen toegang meer tot je account.

Van Google verbaast me dat niet zo veel. Die willen alles over je weten. Dat is hun business model. Ik gebruik niks van Google, maar waar ik me zelf aan irriteer zijn die nags van Paypal. Bij ieder betaling vragen ze weer om een telefoonnummer in te voeren. Een bedrijf als Paypal krijgt die sowieso niet

Misschien eens kijken naar een VoIP telefoonnummer? Vaak zit er geen controle op dat het een 'mobiel' nummer moet zijn, en een 'vast' VoIP-nummer kan prima SMS-berichten ontvangen, vaak doorgestuurd naar een email adres. Kost een tientje in de maand en je heb niet het probleem dat je met een extra telefoon moet rondlopen.

Een tientje in de maand vind ik veel te veel voor iets wat ik niet als groot probleem beschouw. Ik betaal voor m’n sim-only ook maar een tientje per maand, dus dan ben ik ineens het dubbele kwijt...
Waarom zou ik extra geld uit willen geven om van spam af te komen? Ze krijgen gewoon m’n nummer niet (of 0612345678 als het een verplicht veld is).

Voor 2fa maak ik altijd een alias aan, ben ik weg bij een dienst verdwijnt de alias ool

Zelf gebruik ik 2FA vooral niet omdat als iemand anders mijn telefoon heeft, dat hij dan daarmee makkelijker wachtwoorden kan resetten. Zo in de trant van 'ik weet mijn wachtwoord niet meer, dus wachtwoord veranderen, okee, bevestig maar dat jij het bent want je krijgt nu een sms code op je telefoon'.

Het nadeel van een eigen mailserver is dat ze je wel gewoon aan een je eigen domein kunnen linken. ik gebruik zelf daarvoor gewoon een masking service als blur, dat is gratis en hun domein bied meer anoniemiteit aangezien best veel mensen het gebruiken. hetzelfde geld voor een VPN, als je de enige bent die het gebruikt is het nog niet heel erg anoniem omdat al het verkeer van die VPN nogsteeds van een persoon is.

Gezien de kleine hoeveelheid mailgebruikers die er een eigen server op nahoudt denk ik niet dat de complete domeinen plat gaan stampen tot 1 “gebruiker”

Je hebt ook burner telefoonnummers.

Ik heb voor dit doel een fido2 usb key. Dat werd wel geaccepteerd bij in ieder geval Amazon en Google zonder telefoonnummer. Precies om deze reden: ik vertrouw ze niet met mijn telefoonnummer.

Is ook allemaal best snel veranderd. 6 a 7 jaar terug zou ik nooit mijn telefoonnummer geven en vond ik het ook best raar als het gevraagd werd. Nu is het zo standaard dat ik er maar een prepaid sim voor heb aangeschaft.

Mag hopen dat hier dan wel gevolgen aan zitten? Wat een gerommel is dat toch de laatste jaren bij al die bedrijven met gegevens...

Wat mij opvalt tegenwoordig is dat op vrijwel elke webshop er om een mobiel nummer wordt gevraagd. Ik vul altijd 0612345678 in, want ik begrijp werkelijk niet waar dit voor nodig zou zijn (laat zich wel raden natuurlijk).

Volgens mij ook zodat de webshop meteen het klantendossier te zien krijgt als je belt

'Service' SMS, reclame, soms krijg je een telefoontje als je niet thuis bent of als de bezorger er bijna is.

Ik denk dat dit bewust is gedaan..

Dit zijn persoonsgegevens die anders gebruikt zijn dan waar de gebruiker deze voor heeft aangeleverd. Binnen de AVG lijkt mij dit dus een datalek of in ieder geval een overtreding. Ik hoop dan ook op een miljoenen boete vanuit europa.

Misschien krijgen we zo die belasting miljoenen die de techbedrijven uit Europa weg smokkelen wel terug.

“Dat gebeurt als een gebruiker zijn contacten deelt met het telefoonnummer van een andere persoon met een Facebook-account; Facebook koppelt dat nummer dan alsnog aan die account, ook al heeft de eigenaar van dat account zelf niets gedeeld.”

Dat is me al jaren een doorn in het oog. Ik gebruik geen whatsapp, Gmail of Facebook en deel nooit mijn volledige adresboek met wie dan ook maar aan de hand van iedereen in mijn omgeving ben ik zeer accuraat in netwerken te plaatsen.

Onlangs merkte ik ook dat LinkedIn aan het vissen is wat mijn mening is over wat mensen in mijn netwerk interessant zouden kunnen vinden.

Dit is de vraag die ze stellen:
What is <name>‘s top skill?
Help us identify relevant opportunities and content for your connections.

Dit is de disclaimer die er onder staat:
Your response is anonymous and will not be directly shared with your connections or other LinkedIn members.

Oftewel: puur om profielen op te bouwen, mocht je zelf geen interesse hebben om informatie te delen dan doen ze dat via je connecties.

Bleh.

Sterker nog, ik heb al meerdere keren een verzoek gehad of ik wilde connecten met [e-mail] , kennelijk waren er meerdere mensen binnen het bedrijf die deze als contact hadden geshared met linkedin, vervolgens denkt hun algoritme: Hey vergaderkamer12 word door 5 mensen als gedeeld contact opgemerkt, laten we eens flink de andere contacts spammen om de vergaderkamer12 ook lid te maken.

Het wordt eens tijd dat ze een gigantische boete aan hun broek krijgen, al is het alleen als voorbeeld voor andere bedrijven dat dit soort debiele praktijken onacceptabel zijn.

Of beter: de topmanagers van bedrijven met dit soort acties uiteindelijk daadwerkelijk achter tralies zetten.

Dat klinkt leuk, maar achter tralies zetten vind ik ook weer wat. Ja ze zouden op de hoogte moeten zijn, maar ik geloof niet dat het altijd direct de topmanagers zelf zijn die met dit soort ideeen komen. Niet om ze vrij te verklaren van alles. Ze krijgen namelijk een zak geld om verantwoordelijkheid te nemen hiervoor. Maar achter tralies vind ik niet zo nice. Ik zou eerder wel het bedrijf een forse boeten geven. De vraag is altijd wat er met het behaalde geld word gedaan. Want de gedupeerde zien volgens mij niet echt heel veel hiervan terug. Een nare smaak, geen oplossing etc.

Boetes worden mee genomen in de risico analyses, maar denk niet dat een manager graag een strafblad krijgt.

Bij genoeg bedrijven, betalen klanten om een stukje risico af te kopen en te verplaatsen naar het betreffende bedrijf. Terwijl het betreffende bedrijf op papier van alles beloofd, maar in de praktijk de kosten te hoog vinden en het risico te laag.
Celstraffen, verhoogd het risico model

Precies dit. Ik heb eens een manager gehad die notoir te hard reed. Boetes interesseerden hem niks; zijn inkomen was dusdanig dat het wegviel in de marge. Tot hij een keer aan de kant werd gezet en zijn rijbewijs werd ingevorderd, toen raakte het hem wel echt.

Goed, uiteindelijk huurde hij iemand in om hem te láten rijden, maar het werd allemaal wel een stukje lastiger. Het heeft uiteindelijk wel wat effect gehad want hij zorgde er daarna voor niet meer dan 50km/uur te hard te rijden.

Moraal: zolang het alleen maar financieel is, is het geen probleem als het geld tegen de plinten omhoog klotst. Je moet diegene dus op een ander gebied straffen.

Dat klinkt aqnnemelijk . Je zorgt dat op dat niveau dat de managers daadwerkelijk veel meer moeten weten of die risico's & wetten.

Ik heb zo ooit ook met een partij gezeten (een van de grootste spelers in retargeting). En stelde voor om gebruiker hun email in md5 te versleuten en naar hun te sturen.
Enige wat nodig was is een unieke identifier op basis van een account. Waarvan email an sich een goed idee was, maar niet als deze bij hen in de database zou komen en zichtbaar zou worden. Het was mooi te zien dat de security officer met wie ik zat toen nogal dringend verzocht dit soort opties niet meer aan te bieden, en zei tegen ze dat ze op z'n zachts gezegd niet capabel vond met deze data en dat we twijfelde nu niet naar een andere speler te gaan. Helaas wisten we ook dat hun de beste waren.

Dat is helaas altijd mijn ervaring met marketing/tracking spelers dat ze data behoorlijk misbruiken en security/privacy regels niet echt heel erg in acht nemen.

Gewoon beide middelen inzetten. Maak de kosten hoger dan de baten en het gebeurd niet meer.

Of beter, een nieuw systeem bedenken waarbij het niet wordt aangemoedigd om ten koste van een ander, financieel gewin te halen.

Zolang we dit niet oplossen komt dit steeds terug in allerlei verschillende vormen.

Zoom eens wat verder uit. Aanrader:

[Future Thinkers] FTP057: Daniel Schmachtenberger - Pt 1: Solving The Generator Functions of Existential Risks #futureThinkers
http://podplayer.net/?id=53011395

Pt 2: http://traffic.libsyn.com...FTP058.mp3?dest-id=174911

Pt 3:
http://traffic.libsyn.com...FTP059.mp3?dest-id=174911

Die podcasts duren me iets te lang (ik kom nu al niet door mijn lijst heen), maar even zoeken leverde me deze pagina op met wat samenvattingen van de podcasts.

Daniel believes that the current phases of capitalism, science, technology and democracy are destabilizing and coming to an end. In order to avoid extinction, we have to come up with different systems altogether, and replace rivalry with anti-rivalry. One of the ways to do that is moving from ownership of goods towards access to shared common resources.

De man heeft mooie ideeën, maar ik ben bang dat hij een paar honderd miljoen jaar evolutie onderschat

wanneer iemand iets van waarde heeft en dat kan ruilen voor iets dat die persoon wil hebben dan zullen er altijd anderen zijn die dat aan zullen bieden, uiteraard wil iedereen die dat aanbied dat ze bij hen komen ruilen en zullen er alles aan doen dat dit gebeurd. Hier kan je niet omheen, dit is de basis van kapitalisme, socialisme en communisme gaan in tegen het natuurlijk gedrag van de mens en hebben dus geen kans van slagen.

Ik weet hoe het werkt, maar je hebt duidelijk niet mijn linkjes aangeklikt. Zet het eens aan.

Ik zou veel liever een discussie hebben over het volgende systeem dan elke keer dit soort schandalen te moeten lezen die super logisch zijn in ons huidig systeem. Het lost niks op.

Is het niet veel leuker om het ipv hoe het nu werkt en daar de bijbehorende problemen, zoals dat er altijd wel weer een lul is die schijt heeft aan de rest dus alleen zijn eigen zakken vult ten koste van de rest (= wij dus). Om het eens te hebben over hoe het zou kunnen zijn? Dit alles is gewoon bedacht door mensen zoals jij en ik. We kunnen het dus ook veranderen.

Als je die podcast hebt geluisterd weet je dat we het zelfs moeten veranderen vroeg of laat. Dus het gaat er komen.

Anders hebben we het nu over een lul bij Twitter, volgende week een lul bij de overheid, de maand daarna een lul bij een groot auto bedrijf etc. etc..

Dit soort lekken/foutjes begint nu toch wel te wennen. We kunnen nu weer gaan roepen dat het schandalig is en dat eimaatregelen moeten komen, maar we weten dat dat niet gaat gebeuren.

Blijft dus over, we moeten zelf gaan veranderen en kijken hoe we omgaan met die nieuwe realiteit; eens op het net, voor altijd op het net en voor iedereen zichtbaar, wachtend op het moment dat iemand onze gegevens tegen ons gebruikt.

Ik wil de Orwell dooddoener niet opnieuw misbruiken, maar we zijn als mensheid zo langzamerhand onze eigen 1984 aan het schrijven, in plaats dat de overheid hem schrijft voor ons. Een gif wat volgens mij nog veel sluipender is dan de auteur het ooit bedacht heeft...

Dankje Twitter. Werkelijk fantastisch wanneer ieder account dat geen telefoonnummer koppelt binnen 15 minuten wordt aangemerkt als een spam bot en gesuspend wordt.

Het vragen van een telefoonnummer bij het aanmaken van een account begint meer regel dan uitzondering te worden. Probeer maar eens een nieuw account aan te maken op Instagram, Twitter of LinkedIn zonder je persoonlijk tel.nummer in te geven. Een willekeurig nummer ingeven werkt niet want de activatie van het account verloopt via een SMS code.

Enkele jaren gelden diende je alleen een email-adres achter te laten, nu hebben ze ingezien dat gebruikers tig aantal email-adressen aanmaken en spamfilters/ad-blockers zodanig goed werken dat het niet meer zo eenvoudig is om een profiel op te bouwen van gebruikers. Tel.nummers zijn vrij uniek en kan je niet zomaar zonder veel moeite wijzigen, het opbouwen van een gebruikersprofiel voor deze grote bedrijven is dan hiermede terug veel gemakkelijker geworden. Ik zie dit evolueren naar account verificatie via fingerprint/eye/face-scanner eens dit goed ingeburgerd is en iedereen dit begint te gebruiken op allerhande website zonder veel nadenken.

Best wel een kwalijke evaluatie maar de grote bedrijven komen er mee weg want privacy regels opgelegd door overheden zijn een lachertje. Indien nodig betaalt Facebook of big company x wel even een paar miljoen boete waarna ze daarna vrolijk verder kunnen met hun oude praktijken.

[Reactie gewijzigd door jos707 op 9 oktober 2019 12:15]

maar volgens het bedrijf is er nooit persoonlijke data met externe partners gedeeld of welke derde partners dan ook.

Dus telefoonnummers en email-adressen beschouwen ze niet als persoonlijk?

Ik heb een paar maanden terug een Twitter account aangemaakt. Gekozen om geen telefoonnummer op te geven. Vlak na het aanmaken (binnen een uur) van het account kreeg ik een blokkade waar ik geen andere mogelijkheid had dan mijn telefoonnummer op te geven voor verificatie. Niet gedaan natuurlijk! Ik kon niets meer terwijl ik ingelogd was op Twitter. Uitgelogd kon ik meer.

Mail gestuurd dat ik geen telefoon heb en ik unlock wilde. Vervolgens weken later een akkoord door Twitter support. Nu snap ik waarom ze een telefoonnummer moesten hebben. Ik geloof niet dat dit een onopzettelijke actie van Twitter was. Bizar traag proces ook, mijn telefoonnummer geven was veel sneller geweest...