Amerikaanse FTC onderzoekt mailadressen- en telefoonnummermisbruik door Twitter

De FTC onderzoekt of Twitter de regels heeft overtreden toen bleek dat e-mailadressen en telefoonnummers van Twitter-gebruikers door adverteerders misbruikt konden worden voor gerichtere advertenties. Twitter verwacht een schadepost van minimaal 150 miljoen dollar.

Twitter schrijft in een ingediend document bij de effectenbeurzentoezicthouder SEC, dat de Federal Trade Commission op 28 juli een eerste klacht naar het bedrijf stuurde, met de mededeling dat Twitter mogelijk een eerdere overeenkomst heeft overtreden. Tussen 2013 en 2019 was het voor advertentiebedrijven namelijk mogelijk om de e-mailadressen en telefoonnummers van Twitter-gebruikers in te zien, om deze te gebruiken voor gerichtere advertenties. Dit maakte Twitter afgelopen oktober zelf bekend.

Het zou gaan om mailadressen en telefoonnummers die gebruikers hadden ingevuld voor bijvoorbeeld tweefactorauthenticatie. Hoeveel gebruikers geraakt zijn door de fout is onduidelijk. Inmiddels is het probleem volgens het platform opgelost.

De FTC onderzoekt of Twitter hiermee een in 2011 afgesproken overeenkomst heeft overtreden. Deze overeenkomst volgde na twee hacks in januari en mei van 2009, toen criminelen Twitteraccounts wisten over te nemen. Volgens deze regeling mag Twitter 20 jaar lang haar gebruikers niet misleiden over de manier waarop het bedrijf de veiligheid, privacy en vertrouwelijkheid van gebruikersdata waarborgt. Zo mag het bedrijf haar gebruikers niet misleiden als het gaat om ongeautoriseerde toegang tot niet-publiekelijke informatie.

Vermoedelijk gaat de FTC nu onderzoeken of Twitter haar gebruikers heeft misleid, toen de e-mailadressen en telefoonnummers werden gebruikt door adverteerders. Twitter verwacht door dit onderzoek een schadepost te krijgen van 150 miljoen tot 250 miljoen dollar te krijgen. Het is onduidelijk of dit alleen om de boete gaat, of dat bijvoorbeeld advocaatkosten hier ook in meegenomen zijn. Het socialmediaplatform benadrukt dat de zaak nog niet is afgerond en dat de uitkomst en timing nog onduidelijk zijn.

Reacties (11)

Volgens deze regeling mag Twitter 20 jaar lang haar gebruikers niet misleiden over de manier waarop het bedrijf de veiligheid, privacy en vertrouwelijkheid van gebruikersdata waarborgt.

Zonder zo'n regeling mag dat wel..?
Waarschijnlijk heeft het verkopen van de data meer opgeleverd dan de boete nu. De laatste jaren is wel duidelijk geworden met alle privacyschandalen dat bedrijven dit gewoon als business model hebben: gebruikers lopen toch niet weg en de opbrengst zal blijkbaar fors hoger zijn dan de boetes.

Hoewel dit door de formulering vooralsnog een beetje een uitzondering lijkt, is dit wel de belangrijkste reden dat ik moeite heb met het gebruiken van mobiele nummers voor 2FA.

Nagenoeg alle bedrijven die geld verdienen aan gebruikersprofielen, pushen hard op het invullen van telefoonnummers. Soms onder het mom van 2FA, soms met holle frasen als 'hou je account veilig' en 'jouw privacy is belangrijk voor ons'. Hoe rijker de profielen zijn, hoe minder anoniem je bent, hoe waardevoller de data voor het bedrijf is. Ik ben helemaal voor het concept van 2FA maar zou graag implementaties zien waarbij gebruikers minder privacy moeten opgeven.

[Reactie gewijzigd door epoman op 4 augustus 2020 09:28]

Idd, ze blijven maar zeuren

Ik heb een Yubikey (FIDO2) aan een gmail account gekoppeld en dat werk prima. De key kan ook NFC en zo kon ik ook mobiel inloggen (maar NFC van m'n mobiel is overleden). Btw. zelfs nu blijft Google zeuren om tel nummer, want heb geen back-up key..

Ik moet hier nog verder induiken (alles met die key)

Genoeg 2FA oplossingen waarbij een telnummer of andere data niet nodig is. De meeste werken ook met QR codes.

Zoals in de tekst staat is het een fout en een probleem. Maar is dit bewust of onbewust gebeurd?

Wat denk je zelf? Onbewust email adressen en telefoonnummers aan adverteerders geven? Nu kun je, met het oog op de laatste hack, denken dat het gewoon incompetentie is maar in deze weet ik wel zeker dat het gewoon moedwillig is gedaan. Twitter heeft moeite om winstgevend te zijn, dit is natuurlijk een mooie manier om advertenties te targetten.

Dat laatste is dus de vraag voor het onderzoek. Als het onbewust is gebeurd dan heeft Twitter zijn gebruikers dus niet willen misleiden. Als het bewust werd gedaan hebben ze de gebruikers wel misleid en zal er een boete volgen.

Ik begrijp niet zo goed wat er hier nou is gebeurt. Kon een adverteerder het emailadres en telefoonnummer van een gebruiker opzoeken of kon een adverteerder een lijst met emails en/of telefoonnummers uploaden en kregen ze er dan een lijst met profielen bij? Dat laatste kan/kon met Facebook ook met e-mailadressen.

Weten wat de Facebook of Twitteraccounts van je klanten zijn is voor adverteerders best interessant.

Dat laatste kan/kon met Facebook ook met e-mailadressen.

Kan volgens mij nog steeds, als je dat maar ingeschakeld hebt staan in je privacy instellingen.
Je kan kiezen hoe je gevonden wilt worden. Op naam, op email, op telefoonnummer, woonplaats, etc. Door iedereen of alleen door vrienden van vrienden. Of gewoon helemaal niet gevonden kunnen worden, dat is ook een optie. Als je mailadres uitschakelt kan men je dus niet matchen. Heb je het wel aanstaan, dan kan iedereen - dus ook bedrijven, je vinden op je data.

Mailadressen en telefoonnummers voor tweefactorauthenticatie misbruiken. Hoe achterbaks kun je zijn? Maar een verrassing is het niet

Ik ga er zelf vanuit dat alle data die ik ergens opgeef, hoofdzakelijk wordt gebruikt voor profilering. 2FA is toevallig een praktische implementatie die het gemakkelijker voor ze maakt om de data te verzamelen.