Australische telecomprovider injecteert advertentie in sms-bericht van Google

Een Australische telecomprovider heeft reclame in een verificatie-sms van Google aangebracht, tot grote verbazing van Google. Dat werd ontdekt door een ontwikkelaar die de sms kreeg. Het ging niet om phishing; de verificatiecode was legitiem. Google is met de provider in gesprek.

De reclame werd ontdekt door ontwikkelaar Chris Lacy, die een screenshot op Twitter plaatste. Daarin is te zien dat na de verificatiecode een 'SMS AD' volgt voor een VPN-dienst. In eerste instantie lijkt de sms op een phishingpoging, maar volgens Lacy werkte de code in de sms voor het inloggen met 2fa en ging het dus om een legitieme sms van Google. Google Messages merkt de sms ook niet aan als spam.

Na input van verschillende medewerkers van Google zegt Lacy dat het erop lijkt dat zijn telecomprovider de advertentie in de sms geïnjecteerd heeft. In een reactie aan 9to5Google zegt Google dat het niet om een advertentie van hen ging en het met de telecomprovider in gesprek is om uit te zoeken wat er is gebeurd. Beveiligingsonderzoeker Mark Risher van Google reageert dat het bedrijf deze praktijk niet accepteert.

Lacy is zich ervan bewust dat sms niet geschikt is voor tweestapsverificatie, omdat dit niet versleuteld is, zegt hij. Het ging om een oude account die geen alternatieve 2fa ingesteld had. Hij wil de naam van de provider niet prijsgeven uit privacyoverwegingen.

De sms die Chris Lacy ontving, inclusief advertentie. Bron: Chris Lacy, Twitter

Reacties (169)

Een reclamebedrijf (Google) wat klaagt over de reclame die een ander bedrijf maakt. De ironie spat er toch wel af.

Edit: Natuurlijk hoor je niet op deze manier SMS'jes te bewerken, maar ik kan de humor en ironie hiervan toch wel inzien.

Edit2: Dit maakt pijnlijk het belang van versleuteling van de 2e factor duidelijk zodat er niet mee gerommeld kan worden.

[Reactie gewijzigd door r_bleumer op 30 juni 2021 11:06]

Reclame van een ander bedrijf IN een verificatiesms waardoor het op phishing gaat lijken slaat natuurlijk ook helemaal nergens op. Hier kun je terecht je vraagtekens bij stellen. Want, waar gaat het dan ophouden?

Ter aanvulling op de edit van @r_bleumer hierboven, dat hij de "humor en ironie ervan toch wel kan inzien", ik kan me niet voorstellen, welke humor hier precies aanwezig zou moeten zijn. Dit is gewoon een zware inbreuk op een zogenaamd veiligheidsaspect wat je nu doet twijfelen of het wel legitiem is. Niks geen humor aan om eerlijk te zijn.

[Reactie gewijzigd door Tweakez op 30 juni 2021 08:59]

Google schrijft over ads in haar eigen email dienst:

Gmail ads are interactive ads that show in the Promotions and Social tabs of your inbox. Some of these ads are expandable. When you click one of these ads, it may expand just like an email. The expanded ad can include images, video, or embedded forms. They help you connect with potential customers in a more personal format.

Ze staan niet IN de email, maar als ik de inbox open zie ik wel degelijk advertenties boven/tussen emails die mogelijk nodig zijn om mijn email te verifieren of online aankopen te regelen.

Het is niet hetzelfde. Maar het is wel enigzins hypocriet of ironisch dat Google het vervelend vindt als een dienstverlener (telecom provider) waar de klant van Google gebruik van maakt dat gebruikt voor advertenties, terwijl als een Coolblue (bijvoorbeeld) emailt naar klanten om aankopen te regelen of in te loggen Google het wel ok vindt om dan tussen die emails advertenties te tonen.

Zal Google ook luisteren naar een random webshop die het niet wenselijk vindt om veiligsheidsredenen dat Google adverenties toont tussen de emails van webshop naar klant m.b.t. verifieren email adressen of beveiligingsmails m.b.t. verdachte inlogpogingen? Waarom zou Google wel (of beter) in staan voor het voorkomen van phising via deze advertenties dan de provider in Australie?

Ligt er wel aan welke dienst van Google Gmail je gebruikt. Als je de gratis variant gebruikt, dan betaal je inderdaad met een advertentie of meerdere die getoond worden.
Ik gebruik zelf Google GSuite voor mijn e-mail en heb nergens een reclame in mijn gmail omgeving

Waar je aan voorbijgaat is dat het hier een 2FA code betreft. Was het een sms van oma geweest dan had ik je gelijk gegeven, maar het feit dat de provider de reclame in een 2FA code injecteert, waarmee de legitimiteit van de code in twijfel getrokken wordt, maakt het een ernstig probleem.
En aangezien je provider geen onderscheid kan maken tussen een 2FA sms en een sms van oma, moet dit soort praktijken per direct stoppen.

Stop met dat whataboutism. Het gaat in dit geval niet om Google. Dat is een compleet separate discussie. Daar kun je een heleboel over roepen en klagen, en vaak terecht, maar Google staat hier niet in de spotlights, dat is de provider.

Veiligheid en vertouwen zou in de spotlights moeten staan. Niet de provider. Niet Google. En die laatste is in dit geval hyprocriet, ook al hebben ze reden tot klagen.

Provider zit hier fout. Google heeft boter op zn hoofd. En Google zou ook fout zitten als Provider een verificatie/confirmatie/invoicing email naar klanten met een gmail adres zou sturen. Allebei tasten ze de veiligheid aan via advertenties en tasten ze het vertrouwen aan door advertenties of tussen emails in de inbox of in sms-jes te stoppen.

Dat is geen whataboutism maar hypocrisie. Ik zeg nergens dat Google niet zou mogen klagen omdat zus enzo het ook doen, maar ik zeg wel dat het hypocriet (en ook wat ironisch) is. Van google naar consument via provider is het een 2FA sms. Van provider naar consument via provider is het een email met verificatie of factuur.
Het is ook hyprisie dat als je Googled naar 2FA er ads boven de zoekresultaten staan. Ik doe hier net even voor de grap zonder pihole en ad-blockers, ad nummer 2 is een URL die begint met
https://www. indeed-id.com. Ga ik even zelf naar dat adres krijg ik gelijk een certificate error. Nogmaals, Google heeft recht van klagen richting provider maar het is toch wel hyporcriet dat gebruikers van Google of per gmail of per zoekresultaten niet altijd veel beter af zijn in termen van het houden en bouwen van vertrouwen in digitale diensten.

[Reactie gewijzigd door Flo op 2 juli 2021 10:35]

Ik heb het niet over de whataboutism van Google, maar van jou. Jij verwijst naar Google en wat zij doen, en naar Coolblue. Die bedrijven doen er niet toe. Jouw donderpreek op Google trekt weg van het probleem en dat is dat de provider een reclame injecteert in een 2FA bericht.

Inderdaad niets nieuws. 100 jaar geleden werd privepost al 'geïnjecteerd' door de verzendprovider. Toen nog in de vorm van poststempels met - jawel - reclame voor de Postbank, de Jaarbeurs, Blue Band etc:

https://docplayer.nl/1749...d-4-jos-m-a-g-stroom.html

Die extra paar letters reclame hebben niks met veiligheid te maken. SMS is begonnen als intern berichtenverkeer van de providers. Die konden dus altijd al meelezen of manipuleren.

Zolang we tussenpersonen gebruiken om zaken te verplaatsen, kan die tussenpersoon ons bericht bekladden. Dan voelen we weer even dat we een product zijn en dat maakt boos. Altijd al zo geweest en zal altijd zo blijven.

Die extra paar letters reclame hebben niks met veiligheid te maken

Zeer zeker wel, het traint mensen immers om niet achterdochtig meer te zijn als er "rare dingen" in security gerelateerde berichten staat.

Het is voor veel niet-techneuten nu al blijkbaar zeer moeilijk om het onderscheid te maken tussen legitieme berichten en phising. Dit soort misplaatste grappen maakt het nog verwarrender.

Als ik dit bericht zou krijgen zou ik 100% ervan uitgaan dat het een scam is en voor de zekerheid mijn wachtwoorden aanpassen, want ik ga ervan uit dat ik ingelogd heb op een phising site, die dan deze overduidelijk fake 2fa code gestuurd heeft.

100 jaar geleden werd privepost al 'geïnjecteerd' door de verzendprovider. Toen nog in de vorm van poststempels met - jawel - reclame voor de Postbank, de Jaarbeurs, Blue Band etc:

Een stempel aan de buitenkant van de envelop lijkt me toch een heel ander niveau van injection dan in het daadwerkelijke bericht zelf zoals bij deze sms. Een betere vergelijking zou dan zijn als de Postbank reclame zou maken in de brief zelf, in het handschrift van de afzender. En ja, dat zou ongepast zijn. Overigens wel leuk om te zien, ik was hier niet mee bekend.

Woord steeds erger, nu al reclame in Sms'jes, er is werkelijk geen grens meer voor ze.

Straks bedenkt die provider nog dat het wel leuk is om een telefoongesprek te onderbreken voor een reclameboodschap.. het moet niet gekker worden

Straks bedenkt die provider nog dat het wel leuk is om een telefoongesprek te onderbreken voor een reclameboodschap.. het moet niet gekker worden

Precies, er is zo goed als geen grens meer voor die mensen/bedrijven.

Reclame IN een website of video slaat ook nergens op. Toch doet Google niet anders.

Reclame op een website of in een video, slaat zeker ergens op, de beheerder van de website, plaatst namelijk bewust zelf de advertentie-code (script) welke de advertenties serveert. Dat is een bewuste keuze van de beheerder van die betreffende website. Net als dat bij Tweakers de advertenties ervoor geserveerd worden vanuit de Youtube embed, Of dat de algemene krant, een 30 seconden reclame afspeelt voor dat je filmpje begint die gekoppeld is aan een nieuwsartikel, eigen bewuste keuzes.

Echter staat dit los, van een MFA-sms, welke wordt gestuurd onder doeleinde van het authenticeren van jouw account op een website (in dit geval een Google dienst, gezien de G- code). SMS is niet de veiligste optie, maar zou niet geïnjecteerd mogen worden met reclame, wat de SMS als phishing over laat komen, dat is een heel andere kant van de situatie.

Wat mij trouwens wel opvalt, is dat velen vooral zo reageren op Google, want Google doet niet anders, maar toch snappen ze niet dat dit gewoon niet door de beugel kan wat door de telecomprovider hier uitgespookt wordt. Dat staat echt volledig los, van wat Google verder op het internet doet.

[edit]:
Ter aanvulling, op het bewust toevoegen van reclame op websites, in dit geval is Google, de eigenaar van de SMS (zie het als een website) en daar plaatst een derde partij, zonder blikken of blozen advertenties onder. Dat is bijna hetzelfde als dat jij in een bus zonder toestemming reclame plakt voor jouw product, of op een abri op straat jouw eigen advertentie eroverheen plakt, waar een ander bedrijf reeds voor heeft betaald!

[Reactie gewijzigd door Tweakez op 30 juni 2021 09:20]

Aan de andere kant maakt het sms bericht gebruik van de infra van de provider. Het is zoals een privé bericht op een website. Die website kan reclame tonen, het sms bericht nu dus ook.

De telecomprovider die het bericht aflevert heeft van Google geen geld gekregen om het bericht af te leveren net zoals een website geen geld krijgt van de ISPs van de bezoekers.

Keur ik dit goed? Nee. Maar je moet er wel de juiste vergelijking van maken.

Aan de andere kant maakt het sms bericht gebruik van de infra van de provider. Het is zoals een privé bericht op een website. Die website kan reclame tonen, het sms bericht nu dus ook.

Om dit dus door te trekken, bij jou volgend telecomgesprek hoor je willekeurig in je gesprek een reclameboodschap.

De telecomprovider heeft zeker geld gekregen van google voor het afleveren. sms berichten koop je in tegen bulk, c.q er zijn afspraken voor. Dus uiteindelijk via via via zal er voor betaald zijn, ook door google.

Daarnaast jij hebt een betaalde dienst en krijgt een specifiek aan jou gericht bericht. Daar hoort een injectie totaal niet bij. Zou je bijv een gratis tel abbo hebben betaald met reclame dan kun je zo een injectie verwachten.

Er zijn eind jaren 90/begin 2000 bedrijven geweest die dit in nederland aanboden. Gratis bellen, maar dan wel af en toe een reclame door het gesprek heen.

Klopt en was geen succes weet ik nog. Maar verschil is dat je voor gratis een tegenprestatie moet leveren, c.q reclame aanhoren.

Daar heb je natuurlijk ook gelijk, dat is natuurlijk wel de andere kant van het verhaal.
Echter is het wel zo, dat een externe partij, via een SMS-gateway, SMSjes inkoopt en via daar de SMSjes dan ook verstuurd. De partij in kwestie, in dit geval Google, heeft gewoon SMStegoed bij een messagebird bijvoorbeeld ingekocht en heeft dan ook betaald voor de SMS. Dat de provider wellicht niet betaald heeft gekregen voor die betreffende SMS is dan ook de verantwoordelijkheid tussen provider en messagebird.

Er valt natuurlijk van beide kanten wel wat te zeggen natuurlijk..

Neem in je overweging ook op dat het hier gaat om een bericht met een beveiligingscode (2FA), die dus kennelijk veranderd kan worden. Je kan dit beter zien als een ludieke manier om dit beveiligingsprobleem aan de orde te stellen.

Misschien dat we nu eindelijk eens (langzamerhand) van SMS-codes af kunnen komen. Iedereen heeft al een miljoen apps op hun smartphones staan, is dat ene appje voor TOTP nou echt zoveel moeite om te installeren of kost het nou zoveel extra processing power? Misschien moet je eerst die 10 varianten van Candy Crush gewoon eens verwijderen.

dat klopt maar dan zou je dat dat zeker weten wel moeten comuniceren naar je eindgebruiker.

ik heb een tijdje voor een website gebruik gemaakt van een gratis sms-dienst waar je gratis 100smsjes per dag kon sturen van +/- 100 tekens (genoeg dus voor MfA toen dat nog in de kinderschoenen stond) de rest van de SMS bestond idd uit reclame.

Maar ik als verzender KOOS bewust voor die optie.
Ook de eind-gebruiker zou kunnen kiezen voor een gratis telefoon abbo waar ze in ruil voor adds diensten krijgen aangeboden.

Het verschil in beide gevallen is dat er iemand bewust voor heeft gekozen en de risico's daarvan heeft aanvaard. zonder deze toestemming/aanvaardig is er dus sprake van inbreuk op 'privé-comunicatie' en dat lijkt me hoe dan ook: niet legaal en zeer ongewenst.

Ik denk niet dat dit "gewoon los staat" van wat Google verder doet op het internet. True - de SMS waar de reclame in werd geïnjecteerd was toevallig (?) een authenticatie SMS. En dat maakt 't lastig om echt van vals te onderscheiden.
Punt is dat Google zich ook van dat soort praktijken bedient. Als jij de Google zoekpagina bezoekt met een bijvoorbeeld Edge als browser, dan krijg je een extra pop-up (geïnjecteerd zo je wil) die je voorstelt om lekker Chrome te downloaden. En dat de zoekresultaten zelf één grote gemanipuleerde bende zijn zal je wel met me eens zijn.
Het voelt dus een beetje dubbel dat Google klaagt over een ander die ergens reclames in drukt - omdat dit zelf hun core business is...

Je krijgt reclame voor een Google product op een website van Google.. Dat is toch niet zo gek??

Als je dit zou krijgen op de website van Microsoft was het een ander verhaal...

Ik krijg reclame van google artikelen op mijn NVidia shield waar ik ook niet om gevraagd heb. Wat de provider hier doet is niet netjes, maar Google heeft gewoon boter op zijn hoofd als het om reclame gaat.

Netjes is het niet en je moet het niet willen, maar er draait Android-TV op, wat dan weer van Google is...

Het is essentieel anders, en dat is ook wat @Tweakez probeert duidelijk te maken.

Hoe zou jij het vinden dat jouw internetprovider (bijvoorbeeld KPN) jou bij het inloggen via DigiD om je belastingaangifte te doen jou een popup toont met reclame voor Albert Heijn?

Het door een derde partij moedwillig veranderen van informatie die te maken heeft met autorisatie is simpelweg not done.

Probleem is dat er hier helaas te veel mensen zitten met een voorgeprogrammeerde mening. Ze zitten vastgeroest in hun eigen denken.
Natuurlijk is google op privacy gebied geen lieverdje. Echter als een provider een sms van een klant misbruikt om daar reclame mee te injecteren heeft dat niets met google te maken maar eerder met de telecombedrijf.

Maar goed je kan zoiets 10x uitleggen, tegen een voorgeprogrammeerde mening kun je weinig doen.

Google stuurt veelal berichten vanuit andere landen.
Mocht Google wel een bericht sturen vanuit Australië zelf, zijn er nog steeds 3 providers waarmee dat kan gebeuren.
Het is dus maar de vraag of Google daadwerkelijk klant is bij de betreffende provider.

Maar je hebt gelijk dat het niet netjes is.

Of ze klant zijn of niet maakt niet uit. Gaf al aan dat ze ergens hun sms berichten zullen inkopen dus betalen ze ergens. Als jij in het buitenland zit, bel je ook via netwerk van andere provider. Jou provider verwerkt dat in de kosten en betaald via roaming afspraken de provider in het land waar je belt.
Idem als je vanuit je Nederlandse tel sms bericht naar Australië stuurt betaal jij jou provider en via afspraken jou provider de tegenpartij.
Dus of je wel of geen rechtstreekse klant bent maakt niet uit.

Kortweg manipulatie van een prive bericht; valt nooit goed te praten, hoe klein het ook lijkt.

Maar doet Google op heel veel vlakken niet exact hetzelfde? Wordt jouw (privé) Gmail niet gewoon gescand om er daarna advertenties met hetzelfde onderwerp achteraan te sturen? Daarmee zuig je dus metadata uit een bericht dat net zo privé kan zijn als een SMS. Er wordt al jaren gesproken over het door ISP's on-the-fly vervangen van advertenties in webpagina's die een klant downloadt. Sterker, het gebeurt zelfs bij TV/kabel providers met 'ouderwetsche' TV-reclames. En lokale virus scanners doen zelfde dingen: scannen van e-mail, footer eronder plakken ("gescand met xxx-anti-virus"). Anti-virus die je browser's root certificate graag wil vervangen zodat ze mee kunnen kijken met https verkeer -

Ik probeer niet goed te praten wat deze Australische provider geflikt heeft, maar Google kan er ook wat van als het om manipulatie in hun voordeel aankomt. En ze waarschuwen zelf al sinds 2017 dat SMS geen veilige methode voor 2FA is (https://www.security.nl/posting/536198#posting536269)

De actie is niet goed - de reactie van Google wat dubbel...

[Reactie gewijzigd door Tukkertje-RaH op 30 juni 2021 12:05]

Het is misschien niet echt een gelukkige combinatie, maar wellicht doet de betreffende provider dit wel bij alle SMS-berichten die door hun worden afgehandeld ter compensatie om hun klanten goedkoper abonnementen aan te kunnen bieden.

Het zou echter netjes zijn als ze een soort van uitzonderingslijst bijhouden voor bepaalde nummers/nummerreeksen waarbij ze dit niet doen, zoals bijvoorbeeld authenticatie SMS-berichten van o.a. Google.

Het is misschien niet echt een gelukkige combinatie, maar wellicht doet de betreffende provider dit wel bij alle SMS-berichten die door hun worden afgehandeld ter compensatie om hun klanten goedkoper abonnementen aan te kunnen bieden.

Dan zou dat in je contract moeten staan en daar onderdeel van zijn. Ga er van uit dat dat dus niet zo is. Daarnaast is er een verschil tussen reclame sms sturen en er eentje aan een sms van een ander hangen.

Dat is zéker een verschil. Maar dan nog steeds, er voor het gemak even vanuit gaande dat ze dit bij alle SMS-berichten doen is het niet zo heel gek dat het dan ook onder deze SMS-berichten wordt geplakt.
Kan zijn dat dit een voorwaarde van hun dienstverlening is natuurlijk. Dat dit niet hee; sjiek uitpakt onder een 2fa SMS daargelaten. Vandaar mijn suggestie voor een uitzonderingslijst.

Alles kan maar stel je dan de vraag als dit onderdeel zou zijn van een contract waarom er dan een bericht over komt. Je kan er dus van uitgaan dat het niet onderdeel is van een contract.

Alles kan maar stel je dan de vraag als dit onderdeel zou zijn van een contract waarom er dan een bericht over komt.

Dat zou kunnen zijn omdat de persoon die dit op Twitter gooit niet op de hoogte is van de abonnementsvoorwaarden en verder nooit gebruik maakt van SMS waardoor het nooit eerder is opgevallen. Of gewoon om interessant te doen. En als er dan een artikel over komt dan heeft de artikelschrijver het waarschijnlijk inderdaad interessant genoeg gevonden.

Je kan er dus van uitgaan dat het niet onderdeel is van een contract.

Op basis van het artikel kun je daar niet direct vanuit gaan. Overigens ook niet of dat het toevoegen van ads aan SMS-berichten onderdeel is van de abonnementsvoorwaarden.
Maar dat was ook niet mijn punt. Het gaat mij er meer om dat dit mogelijk helemaal niet specifiek onder een SMS-bericht van Google is geplakt maar dat dit op grotere schaal door de provider gedaan wordt.

[Reactie gewijzigd door murkienl op 30 juni 2021 15:58]

klink leuk, maar als er Australische providers zijn die dit doen zullen er veel meer mensen van op de hoogte zijn. Ik heb echter geen commentaar kunnen vinden ook niet op buitelandse sites met dit artikel waarin er staat dat dit gebruikelijk is.

Daarnaast https://www.esendex.com.a...rketing-law-in-australia/
ook voor sms reclame heb je opt-in.

Dat ben ik met je eens. En waarschijnlijk is het ook niet aannemelijk maar het zal niet specifiek bij een Google SMS-bericht gedaan zijn. Eerder toevallige samenloop van omstandigheden óf wellicht wel op grotere schaal als misplaatst/-lukt experiment.

Als je op een Samsung tv verbinding maakt met de wifi krijg je ook een melding dat je apparaatinfo naar Samsung wordt gestuurd. Het is wat mij betreft ook echt not done maar ze doen het wel. Je kan pas verbinden met de wifi als je impliciet toestemming geeft dat gegevens zoals ip adres naar Samsung worden verzonden.

[Reactie gewijzigd door amx op 30 juni 2021 10:46]

[...] en dan staat het niet op de doos etc of op je aankoopbon dus ga je terug naar de (web)winkel en legt uit dat je niet akkoord gaat met de ToS en je het product niet niet kunt gebruiken zoals geadverteerd ... dan krijg je gewoon je geld terug (al dan niet na een gang naar de rechter).

[..] Dus in feite is het met een advertentie in een sms niet anders vanuit de klantbeleving. Wat het niet minder schofterig maakt. Wat ik wel in de context mis, is of de ISP dit bij alle sms berichten doet of alleen bij Google en zo ja, waarom.

Hoe zou jij het vinden dat jouw emailprovider (bijvoorbeeld Google) jou bij het ontvangen + lezen van verificatie-emails van DigiD of een webshop jou een advertentie toont tussen de emails van DigiD, coolblue, etc.?

Het door een derde partij (Google) moedwillig veranderen tonen van advertenties die er uit zien als emails tussen emails die te maken hebben met autorisatie of verificatie is simpelweg not done.

(Edit: hier gebruikt de meerderheid ongetwijfeld vele ad-blockers or scripts zodat ze het niet zien. Maar ze zijn er wel voor je oma, opa en niet-IT kennisenkring)

[Reactie gewijzigd door Flo op 30 juni 2021 11:46]

"Mijn" e-mail provider ben ik zelf, en dat is ook niet zonder reden, dus eerlijk gezegd zou ik me met het hypothetische geval bezig moeten houden.

In het algemeen vind ik dat een provider/dienstverlener zich met zijn dienst moet bemoeien en niet jou/mij als verdienmodel moet zien anders dan de relatie die we hebben omtrent de bewuste dienst.

Dus: ABN-AMRO die probeert om betaalgegevens te gebruiken om aanbiedingen te doen of zelfs aan derden te faciliteren, google die reclamemail (dus niet reclame op webmail) tussen jouw mail gaat zetten, etc: allemaal laakbaar. In mijn ogen.

Maar hier wordt door een aantal reacties de indruk gewekt dat of de reclame van Google is, of dat dit een koekje van eigen deeg is "want Google doet het ook". Ik vind dat je die dingen ook heel goed moet scheiden en even goed moet bekijken wat er aan de hand is. Dus: ik heb een relatie met een dienstverlener om SMSjes bij mij te bezorgen, ik vraag aan een andere dienstverlener om mij een SMS te sturen, en de eerstgenoemde vind het nodig om het bericht te voorzien van reclame. Dan maakt het voor mij niet uit wie dienstverlener 1 en wie dienstverlener 2 is: de situatie an sich is ongewenst in mijn ogen.

Is de SMS dan herkenbaar is als een authenticatie SMS? SMS is een nogal basaal. Dat het niet handig is dat hierin reclame wordt geplaatst - dat is de discussie niet.

Dat Google hier nu tegenaan loopt - dat is wel degelijk ironie. De grootste reclame pusher van de wereld krijgt gewoon een koekje van eigen deeg.

Nee. Hetzelfde zou zijn als Chrome of (Google) Android op websites die jij laadt opeens zelf advertenties in gaat voegen zodat je bijvoorbeeld bij de Belastingdienst of de site van je dokter allemaal advertenties gaat zien. En dan ook nog eens dat Google dat volledig in het geheim doet zodat voor jou niet te bepalen is dat de Belastingdienst of je dokter niet zelf die advertenties plaatst.

Als jij de Google zoekmachine bezoekt dan zit je al op een website van Google, dat is een fundamenteel verschil.

Wat die provider hier schijnbaar doet is vooral heel erg slecht omdat het voor de ontvanger niet duidelijk is dat deze onzin niet van de verzender van de sms komt.

Als je je adblockers uitzet,
zie je een hele bak met advertenties tussen de resultaten van google 😃

Hier wordt gebruik gemaakt van een semi-gratis dienst waarbij als uitruil advertenties worden geïnjecteerd 😉

Welkom op de website van Google, die dus op zijn eigen website advertenties serveert. Dat Google dus advertenties toont, tussen de zoekresultaten is gewoon een eigen recht, net zoals dat Tweakers advertenties serveert vanaf het Google platform. Die keuze is door de bouwer / onderhouder van de website gemaakt.

Het standpunt die je hebt klopt niet in verhouding tot de SMS die daar volledig buiten staat en waar een andere partij even besluit om advertenties in de SMS te tonen terwijl die SMS door Google is geserveerd via het platform Messagebird of een andere SMS-Gateway.

Als Google nou zelf een advertentie aan de SMS had toegevoegd, dan hadden we inderdaad een andere situatie, maar hier is gewoon door de telecomprovider besloten om een advertentie aan een SMS toe te voegen, en dat is de verkeerde gang van zaken.

De SMS is geen semi-gratis dienst, de SMS is een betaalde dienst, want elke organisatie die SMS wilt serveren, zal een SMS gateway in de arm moeten nemen om daar SMS in bulk in te kopen en zodoende kan een organisatie SMS serveren aan een eindgebruiker/klant. De SMS is dus betaald door Google, maar wordt door de telecomprovider nogmaals voorzien van reclame, om er extra geld aan te verdienen.

[Reactie gewijzigd door Tweakez op 30 juni 2021 10:34]

Als je je adblockers uitzet

Don't do it!

En die derde partij is een telecomprovider. Die hoort berichten door te geven en verder helemaal niks.

Je zou je bijna gaan afvragen welke berichten er nog meer zijn aangepast door providers, want blijkbaar hebben ze weinig ethisch besef op dit vlak.

Google faciliteert de reclame. Het is aan de website/content niet om er iets mee te doen.
Google zelf koopt bar weinig ads in.

Nee, de website eigenaar doet dat. Die kiest voor google. Google injecteert niet ineens reclame in een website als de eigenaar dat niet wil. Dat is nogal een verschil!

Reclames op websites zie je alleen als de ontwikkelaar daar ruimtes vrijlaat om advertenties te laten zien. Google vult die ruimtes graag, maar plaatst dus niet uit eigen beweging advertenties in web pagina's.

Bij YouTube is het anders. Daar injecteert Google wel zelf advertenties in de video's. Het is overigens wel mogelijk om video's te plaatsen waarbij geen advertenties worden geïnjecteerd, mits je aan een aantal voorwaarden voldoet. Wij YouTube via de browser bekijkt kan de advertenties voorkomen door een add-blocker te gebruiken.

Bij een website kiest de website maker er bewust voor, in dit geval kiest de afzender van de email er niet bewust voor.
Het zou een heel ander verhaal worden als je internet provider advertenties op willekeurige websites zet.

Tsja, waar houdt dit op? Een tv met reclame in de menu's, een telefoon die barst van de reclame-apps en nu dus sms'jes met geïnjecteerde reclame. Je zou je afvragen of dit juridisch niet wat beter aan banden gelegd moet worden, hoewel ik betwijfel of bedrijven zich er dan aan houden. Ik vind het eveneens een zeer zorgelijke ontwikkeling.

Goeie vraag. Wel scary, kanalen waar je verwacht dat die reclame vrij blijven, besluiten fabrikanten zelf om er reclame aan toe te voegen. Als het een gratis dienst is, zoals een website, kan je het verwachten, maar nu ook bij betaalde diensten.
Je zegt zelf al bij tv's, maar ook bij gekochte games (zie ocoulus), en nu dus ook bij sms. Waar stop het.
- mijn kassa bon, waar de winkel iets extra's erop print
- mijn ontvangen email, waar de provider iets toevoegt
- netflix, die halverwege reclame toont
- mijn melkpak, die op 1 vlak reclame heeft
mijn gekochte audio cd, met reclame op de cd

Nu ik er zo over nadenk, er is nog hoop onbenut terrein voor de adverteerders, mmm

als de wet, goed is dichtgetimmerd, en de handhaving op orde is, dan gaan bedrijven zich na enkele boetes vanzelf aan de wet houden. zie maar eens de GDPR. de handhaving wordt beter en bedrijven gaan steeds vaker aanpassen (of stoppen).

Niet. Het stopt pas zodra een wetgever paal en perk stelt. Doet deze dat niet, dan wordt de hele (virtuele) buurt volgeplakt met reclame.

Totdat de spreekwoordelijke buurt dan besluit ergens anders te wonen (lees: offline). Dat gebeurt in mijn omgeving al massaal bij YouTube (nou, vooruit; voorzichtig) en Facebook.

Het is humor omdat de provider probeert te verdienen aan de SMS, maar tegelijk superstrak aantoont waarom SMS niet meer gebruikt zou moeten worden en al helemaal niet meer voor verificatie van wat dan ook.

Je ziet de humor niet ?

Google de site, die alle info van andere (nieuws)sites wil gebruiken zonder daarvoor te betalen.
Reclame stopt in youtube films, terwijl de maker daarvan doelbewust dit afgezet heeft.
Zo veel mogelijk van je telefoon wil tracken. Je browser en email services leest voor "customer optimisation"

Die google gaat klagen dat iemand een reclame bericht in "zijn" sms stopt. en je ziet daar niet de humor van in ?

Ik hoor allanis morrisette al meezingen

[Reactie gewijzigd door heuveltje op 30 juni 2021 09:39]

Maakt het inbreuk op de veiligheid? Of laat het zien dat die er eigenlijk helemaal niet is?

Ik vind dit eigenlijk wel een goede demonstratie die laat zien waarom je vertrouwelijke berichten nooit via SMS moet sturen.

Het is toch best wel grappig dat er externe reclame is geïnjecteerd in een google bericht? En dan ook nog voor een vpn!

Zie het vooral als een mogelijkheid. Dit is toch een prachtige manier om, zoals in het bericht staat, aan te kaarten dat sms authenticatie niet veilig is en niet gebruikt dient te worden. Hopelijk wordt dat met dit dan eindelijk overal de nek omgedraaid.

Waar stopt Google eigenlijk? Die lezen gewoon je (Google) mailbox mee op dan reclame te targeten.

Daar gaat het in dit bericht niet om, het gaat om het feit, dat iemand een MFA code ontvangt voor het verifiëren van jouw accountstoegang waar een telecomprovider klakkeloos een advertentie in kwakt. Sterker nog op "te ontvangen" berichten, die betaald zijn door een externe. Straks zeker ook reclame in SMSjes die jijzelf verstuurd en betaald hebt.

Maargoed, het gaat niet om het wie betaald de sms, het gaat om de indruk die gewekt wordt, waarmee in dit geval de SMS op phishing lijkt.

[Reactie gewijzigd door Tweakez op 30 juni 2021 08:57]

Welke indruk krijg ik als ik een product zoek en niet de beste match krijg maar de best betalende? Neen het in niet hetzelfde maar in de grond is het injecteren en daar verdienen ze aan.

Daarmee kun je dus stellen dat de telecomprovider niet inhoudelijk naar de smsjes kijkt, ze maken namelijk geen onderscheid tussen SMSjes. Privacy technisch helemaal ok. Een zelfde soort redenatie hoe Google dit recht zou praten als zij de telecom provider waren. Dit is uiteraard een pot-ketel verhaal.

Dit is uiteraard een pot-ketel verhaal.

Juist, en dat is waarom @r_bleumer er de humor en ironie van kan inzien.
Wat @Tweakez dan weer niet ziet.

(ik dacht, ik vat het maar even samen)

Dat zou een trieste dieptepunt zijn, reclame in een door jouw gestuurde SMS, zeker aangezien SMS zo goedkoop is dat providers vroeger "goud" aan verdienden.

Je hebt akkoord gegeven aan google om dat te doen. Dus wat is je punt nu?
edit: lees in andere reacties dat ze dat niet meer doen.. maar je had alsnog akkoord gegeven

[Reactie gewijzigd door moonlander op 30 juni 2021 10:17]

Ze doen het idd niet meer, maar toen ze het nog wel deden was het opt-out, niet opt in.

Juridisch gezien valt dat idd misschien onder akkoord gaan/geven, maar praktisch gezien natuurlijk niet - dat zou betekenen dat je daadwerkelijk alle kleine lettertjes zou moeten gaan lezen. In principe moet je dat natuurlijk altijd doen bij iedere overeenkomst, maar praktisch gezien is het gewoon onmogelijk, of op z'n minst zeer onwenselijk. Dit soort zaken doet me altijd terugdenken aan m'n college's over recht: de term redelijkheid en billijkkheid. Hoe redelijk is het om te verwachten dat je klanten tientallen of honderden pagina's (juridische) tekst gaan doorlezen en begrijpen.

Goed voorbeeld hiervan vind ik "legitimate interest", een maas in de cookiewet waardoor sommige tracking toch nog opt-out aangeboden mag worden (en het schier-onmogelijk is voor een leek om na te gaan waar nu precies de grens ligt).

Gmail wordt niet meer gelezen voor reclame/commerciële doeleinden.

Wel bijblijven he met Google bashen

Bericht uit 2018 (zover loop je al achter ):
https://www.theguardian.c...n-emails-for-ad-targeting

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 09:25]

Dat zegt google. Vervolgens blijkt het per ongeluk toch te gebeuren door 'een configuratie fout'.

Da's niet de eerste keer, bij google. Het is dus niet verwonderlijk dat men een beetje voorzichtig is met google geloven.

Het blijven ongefundeerde meningen, en het grenst aan fake news. Ook nu doe jij weer een statement zonder onderbouwing, wat dus puur stemmingmakerij is.

Edit:
En Google zei het inderdaad in de eerste plaats, maar The Guardian in de tweede plaats. Je weet wel, die krant die ook de Snowden Leaks publiceerde. Fact checking van The Guardian heb ik op een wat hoger niveau ingeschat dan die van jou.

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 12:08]

Het is iets wat google zelf heeft toegegeven, en algemeen in het nieuws was: https://thehill.com/polic...l-tracking-of-apple-users

Hoe je 't ook wend of keert, google is niet echt betrouwbaar te noemen. Ze doen wel vaker dingen die net wel/niet over het randje zijn. Denk aan dat wifi scannen door de streetview auto's.

Betrouwbaarheid heeft te maken met doen wat je zegt, en zeggen wat je doet.

Nu kan je natuurlijk vinden dat ze teveel doen, en de AVG heeft ook op fronten paal en perk gesteld.

Maar mbt gegevensverwerkingen is Google dus heel transparant (geworden), en wat op sommige punten nog verbetering kan hebben.

Die screw ups waarnaar je verwijst zijn overigens van lang geleden. Zelf ben ik niet van de generatie "guilty once, guilty always".

Dus hoe je het ook wendt of keert, jij heb nu exact 0 bewijs dat Google zich niet houdt aan hun toezegging over het lezen van email voor ads. Dat jij ze niet betrouwbaar vindt, dat is dan je mening. Maar die mening is geen feit in het kader van mail lezen voor ads.

die laatste screw up was van februari 2019. Dat is nog best recent te noemen. Er was ook nog dat ding met Nest. En er loopt ook nog een class-action tegen ze. (ok, amerika, verkeerd ademen kan je al een rechtszaak opleveren).

Ik ben best bereid om google een kans te gunnen, maar dan moeten ze niet nieuwe fratsen die toch ook wel 'privacy eng' gezien worden, zoals FLoC: https://www.eff.org/deepl...oogles-floc-terrible-idea gaan optuigen.

Het is gewoon een probleem google en privacy. Dat is ook logisch, omdat dingen over jou weten hun business is. Daarmee verkopen ze precieus getargette advertenties.

En klopt, dat is voor een deel een mening, voor een deel een goed onderbouwde mening, die gedeeld wordt door vele anderen, die nog veel meer verstand van privacy en security hebben dan ik.

Dat ze zich bij gmail zich _potentieel_ nu wel aan privacy regels houden, betekend nog niet dat het gelijk het tofste bedrijf ter wereld is op privacy vlak. Je vertrouwen kan alleen geschonden worden als je het geeft, en google heeft op dat vlak toch wel wat misstappen gemaakt.

Hoezo potentieel? Dat is dus precies mijn punt. Dat jij het niet vertrouwd, betekent dus nog niet dat het zo is. Hoeveel mensen die mening ook delen.

Je hebt je mening niet onderbouwd t.a.v. mail lezen voor ads. Enige wat jij hebt onderbouwd is waarom jij Google niet vertrouwd (en dat is helemaal prima natuurlijk) Maar dat is dus wel echt iets anders dan iemand of een organisatie ergens van beschuldigen.

Edit:
Ik heb overigens een wat positiever beeld van FLoC. Omdat het om decentralisatie gaat van het profileren (want dat gaat in de sandbox, ipv bij iemand in de cloud). Nu halen ze device fingerprinting erbij, maar dat issue is er nu ook al (ook zonder cookies).

Wat ik vooral echt mis bij FLoC is de optie om te zeggen "stuur dummy profiel" oid. Dus het concept 'anoniem' in de context van groepen in FLoC zeg maar.

EFF wilt helemaal geen tracking, advertisers willen volledige tracking. Cookies leunt meer naar advertisers, FLoC meer maar gebruikers. Ben zelf zeker ook nog sceptisch, maar komt op mij over als een wat gebalanceerd model om een gratis internet betaalbaar te houden.

EFF meldt overigens dat de third party cookie op sterven na dood is, maar dat klopt gewoon niet. Getuige de vele cookie banners en policies.

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 15:34]

ik zeg ook niet dat het zo is. Dat maak jij er van. Ik zeg alleen dat ik, en EFF en nog wat andere organisaties en overheden Google niet vertrouwen

Ik vertrouw google's woord niet meer. Heel simpel. Ik heb nooit beweerd dat ze de mail nog steeds lezen. Ik zeg alleen dat hun woord dat ze dat niet doen, niet te vertrouwen is wat mij betreft. Daarvoor moeten ze nog een paar jaar voorbeeldig gedrag vertonen, voor dat vertrouwen weer hersteld is.

Het liefst zou ik dat soort dingen door een overheids component geaudit worden. Privacy is net even een te groot ding. (Zie ook die ellende met het mogen zelf-certificeren bij boeing, commerciële belangen spelen gewoon te veel bij grote bedrijven).

Ah men, was bezig met een te lange edit (over floc).

Ik denk ook dat wat meer onafhankelijke audits bij grote data bedrijven een belangrijk controle middel is. Zo is alleen de AVG nu niet opgezet...

Ah men, was bezig met een te lange edit (over floc).

Ik denk ook dat wat meer onafhankelijke audits bij grote data bedrijven een belangrijk controle middel is. Zo is alleen de AVG nu niet opgezet...

*leest terug* ah, ik kan me inderdaad wel redelijk vinden in je FLoC verhaal. Maar ik denk dat zonder tracking (of dat nou FloC is of niet) ook prima kan. Een dummy profiel zou ook leuk zijn. Om een context-leuke advertentie te serveren hoeft alleen maar naar de specifieke pagina gekeken te worden. (of tweets, etc).Dan wordt je niet nog een week gestalkt door dat product wat je bekeken hebt (en of al gekocht hebt, of niet wil).

En ik ben het ook met je eens dat de AVG / GDPR er niet voor opgezet zijn momenteel, qua onafhankelijke controle. Maar dat is een weinig complexe aanpassing denk ik. Controles doen ze ook al bij farmaceutische bedrijven, etc. Waar noodzaak is, komt dergelijke wetgeving vanzelf. En ik denk dat de noodzaak zich wel bewezen heeft inmiddels.

Tracking hoeft van mij ook niet (privacy badger fan hier . Maar ik begrijp ook dat de wereld niet altijd op mijn idealen vaart (of meestal niet )

Ook de AVG zal niet eeuwig hetzelfde zijn, hoop alleen dat de volgende iteratie wat dichterbij ligt dan de vorige...

En bedankt voor het leuke en interessante gesprek!

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 15:47]

En bedankt voor het leuke en interessante gesprek!

Het was me een waar genoegen

Maar ze injecteren geen ads *in* je email. Wel erboven en ernaast en ervoor en erachter, maar van de email zelf blijven ze af. Totdat ik dit bericht langs zag komen had ik daar nog nooit bij stilgestaan, omdat het dusdanig idioot is dat het niet eens in me was opgekomen dat een bedrijf die grens kon doorbreken...

Dat doen ze al jaren niet meer.
https://variety.com/2017/...il-ads-emails-1202477321/

Google moet gewoon voldoen aan de AVG/GDPR. Als dit nog gebeurd moet het in de voorwaarden staan, staat het in de voorwaarden was het inmiddels wel opgemerkt door de AP of andere privacy minded Tweakers.

Google's voorwaarden lijken dit nog gewoon toe te staan:

Uit het kopje: Gegevens die Google verzamelt - Bestanden die u maakt of gegevens die u aan ons verstrekt.

We verzamelen ook de content die u maakt, uploadt of van anderen ontvangt wanneer u onze services gebruikt. Dit zijn onder meer de e-mails die u schrijft en ontvangt, foto's en video's die u opslaat, documenten en spreadsheets die u maakt en reacties die u achterlaat bij YouTube-video's.

gecombineerd met dit uit het kopje Waarom Google gegevens verzamelt - Gepersonaliseerde services leveren, waaronder content en advertenties

...
Afhankelijk van uw instellingen kunnen we u ook gepersonaliseerde advertenties laten zien op basis van uw interesses. Als u bijvoorbeeld zoekt naar 'mountainbikes', kunt u een advertentie te zien krijgen voor sportmateriaal wanneer u een site bekijkt waarop advertenties van Google worden weergegeven. U bepaalt via uw advertentie-instellingen welke gegevens we gebruiken om u advertenties te laten zien.

Ik zie in ieder geval geen uitsluiting in hun eigen voorwaarden om emails (content) te kunnen "lezen" om daar dan advertenties op aan te passen.

En voldoen volgens mij ook nog prima aan de AVG:

We laten geen gepersonaliseerde advertenties zien op basis van gevoelige categorieën, zoals ras, religie, seksuele geaardheid of gezondheid.
We delen geen gegevens waarmee u persoonlijk geïdentificeerd kunt worden door adverteerders, zoals uw naam of e-mailadres, tenzij u ons hierom verzoekt. Als u bijvoorbeeld een advertentie ziet voor een bloemenzaak bij u in de buurt en de knop 'Tik om te bellen' selecteert, verbinden we uw oproep door en kunnen we uw telefoonnummer delen met de bloemenzaak.

https://policies.google.com/privacy

edit: spevouten fervangen

[Reactie gewijzigd door surfin op 1 juli 2021 10:51]

Op die pagina staat toch echt beide keren verzamelt en niet verzameld.

Dan lees ik daar waarschijnlijk volledig overheen, zou je het deel waarin niet verzameld staat hier kunnen plakken?

Links in de kantlijn o.a.

wacht, het gaat je om de spelling?

Heel goed: stam+t.

Deze beter dan?
https://blog.google/produ...il-to-more-closely-align/

Zoals Jordan Peterson zo treffend zei: "There is no point in defending against ungrounded allegation...".

En daar ben jij mee bezig: ungrounded allegations. In het Nederlands heet het ook wel smaad.

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 09:29]

Onjuist. Smaad is als je een bedrijf onterecht zwart maakt en dingen claimed die mogelijk niet waar zijn. Ik weerleg alleen het eea wat online geschreven is als mogelijk onjuist, omdat internet niet alleen feiten bevat. Ik doe dus geen aannames, ik betwist alleen een stelling.

Jij zegt:

Omdat er ergens op internet wordt geclaimd dat het niet gebeurt, maakt het dus een feit?

Hiermee impliceer je dus precies het tegenovergesteld. Nieuws media rapporteren over een veranderd beleid en uitvoering bij Google (geen mails meer lezen voor ads). Google geeft dit zelf ook duidelijk aan, vrij recent nog zag ik een herhaling van die melding voorbij komen in Gmail zelf.

Dus ja, bovenstaande is een feit totdat een ander het kan weerleggen. Dat is hoe de wereld werkt. Het zijn juist de wappies die stellingen innemen, en zaken ter discussie stellen, zonder een onderbouwing. En dat is dus inderdaad smaad, precies volgens jouw woorden.

Smaad is als je een bedrijf onterecht zwart maakt en dingen claimed die mogelijk niet waar zijn.

[Reactie gewijzigd door Anoniem: 470811 op 30 juni 2021 12:04]

Je loopt een jaar of drie achter @Mizgala28 zoals (als je even de reacties had gelezen) hierboven al meermaals wordt medegedeeld:

https://www.theguardian.c...n-emails-for-ad-targeting

https://variety.com/2017/...il-ads-emails-1202477321/

Als je echt iets te zeggen nog hebt, dat dit bijvoorbeeld onjuist is, kan je me dan even een bron aanleveren waaruit dit blijkt, behalve dat jij denkt dat het zo is?

De toon van je comment kan wel wat minder (aanvallend, terwijl ik onbewust een fout had gemaakt).

Ik had blijkbaar verouderde informatie hierover, sorry dat ik niet 100% het hele internet non-stop en alles wat overal gezegd wordt volg, iedereen maakt weleens fout dus heb ik mijn vorige comment aangepast.

[Reactie gewijzigd door Mizgala28 op 30 juni 2021 09:51]

...Niks geen humor aan om eerlijk te zijn.

Ik vond het wel grappig, ook al heb je een punt. Kan toch beide?

Hoewel ik deze actie ook zeker niet vind kunnen, vind ik het wel jammer dat je de humor er niet van inziet. Ik wel namelijk, net als @r_bleumer, al is ironie misschien een beter woord; een bedrijf dat zich in alle mogelijke bochten wringt om zoveel mogelijk gegevens van jou te verzamelen om je vervolgens met advertenties te bestoken, zit nu zelf ineens een keer aan de andere kant. Als dát geen ironie is dan weet ik het ook niet meer.

Geen humor maar wel ironisch dat het een verificatie sms van Google betreft.

Reageerden mensen maar net zo heftig als jij nu doet op het feit dat Google locatie van mensen binnenharkt terwijl gebruikers dat expliciet uit gezet hadden.

[Reactie gewijzigd door Vexxon op 30 juni 2021 18:30]

Het gaat er juist om dat mensen kunnen denken dat de advertenties van Google afkomstig is, terwijl het dus de provider is die het injecteert in het sms bericht.

Overigens is Google tegenwoordig meer dan een reclamebedrijf, al vind je dat wellicht niet zo cool om te roepen.

Niks met uncool te maken, maar de diensten van Google zijn toch vooral een vehikel om reclame mee te maken.

Geef dan ook een voorbeeld als je hoog van de toren wilt blazen.

Ja, Google leeft nog altijd op reclame inkomsten en is op gebied van privacy niet een top bedrijf. Maar als je verder kijkt dan dat verkopen ze genoeg ander spul en bieden ze producten aan zonder afhankelijk te zijn van reclame inkomsten.

In 2020, Alphabet generated almost $183 billion in revenue. Of that, $147 billion — over 80% — came from Google's ads business, according to the company's 2020 annual report.

No offence, maar als meer dan 4/5e van je inkomsten van één bron komen, dan is dat gewoon je corebusiness hoor, moet je niet raar over doen.

[Reactie gewijzigd door FReNsJ op 30 juni 2021 09:29]

Zoals? Google App Suite is de enige die ik me kan bedenken. Alle devices die ze uitbrengen dienen allemaal het reclame-model. Zeker de slimme speakers enz.

Alles om een beter beeld van jou te krijgen, zodat ze nog gerichter de reclame kunnen targeten.

[Reactie gewijzigd door r_bleumer op 30 juni 2021 09:17]

Stel je voor: een reclame loze wereld. En dan ook geen pricewatch/vergelijkingssites meer etc want dat is ook reclame (bedrijf betaald voor zijn positie en klik/conversie).

Hoe ga je dan een product of winkel vinden op internet? En verplaats je dan ook eens in.. dat je zelf ook een product hebt, hoe ga je dat aan de man/vrouw brengen?

Een Netflix zou nooit zo groot zijn als er niet een gigantisch advertentie budget voor vrijgemaakt was.

Hoe je een product of winkel gaat vinden, gewoon door te zoeken.
Zoekresultaten die niet door tracking en reclames vervuild zijn kunnen nog steeds. Sterker nog de resultaten zullen er alleen maar beter en eerlijker van worden.

Een pricewatch zou prima kunnen zonder reclame.
Je moet niet doen alsof we niet zonder reclame kunnen.

En btw, er is niets mis met reclame het is de verregaande tracking wat een probleem is. En dat lijkt tegenwoordig onlosmakelijk met elkaar verbonden te zijn.

[Reactie gewijzigd door Vexxon op 30 juni 2021 18:35]

Reclamebedrijf? Zeg maar gewoon spamclub. En de diensten/producten die ze leveren om hun spam te verspreiden zijn bedroevend slecht maar ja gratis dus populair.

Ze doen er heel veel omheen, maar het is allemaal toegespitst op meer reclame verkopen.

Dit was ook het eerste waar ik aan dacht (ben een beelddenker).

Wat ik overigens wel interessant vind is dat men op scherp staat om Google te verdedigen, terwijl dit 100% niet had gebeurd als het om een 2FA bericht van bijvoorbeeld AdCash, SmartyAds, ClickAdU, of iedere ander advertentienetwerk ging (en ja die komen met een persoonlijk beheerpaneel dus 2FA is niet vergezocht). Google is echt niet veel beter dan de voorbeelden die ik aanhaal, beter nog, mijn voorbeelden doen puur advertenties serveren en misleiden niet de massa met gratis diensten en lange EULA's om zo quasi stiekem aan persoonsgegevens te komen.

Natuurlijk is het niet netjes om bovenop abonnementskosten nog eens extra geld te verdienen met advertenties, in dat opzicht lijken ze wel van Samsung afgekeken te hebben. Maar dat het juist Google is die hier aanstoot neemt, ja dat is gewoon ironisch.

[Reactie gewijzigd door nst6ldr op 30 juni 2021 09:21]

Natuurlijk is het niet netjes om bovenop abonnementskosten nog eens extra geld te verdienen met advertenties, in dat opzicht lijken ze wel van Samsung afgekeken te hebben. Maar dat het juist Google is die hier aanstoot neemt, ja dat is gewoon ironisch.

Omdat het nogal ongepast is om een sms-bericht wat kritiek is voor de beveiliging van een account te onderscheppen en aan te passen.

Klinkt echter meer als een generieke ad-injectie functie bij de telecomprovider dan dat het een gerichte targeting op 2FA codes is, dus dat argument snijdt geen hout.

De telecomprovider heeft al cleartext toegang tot het 2FA bericht. Daar een aantal karakters ad aan toevoegen is weliswaar laakbaar, maar niet meer ongepast dan aan een willekeurige andere SMS.

Van onderschepping is geen sprake, enkel van volautomatische toevoeging van extra tekens aan het bericht.

Waarom zou het ene reclamebedrijf een ander reclamebedrijf niet op de vingers mogen tikken als die tweede een stommiteit uithaalt?

Ja, de ironie druipt er wel vanaf hier. Natuurlijk niet de bedoeling, maar toen ik de titel las dacht ik echt dat dit zou uitkomen op een ludiek protest tegen de macht van Google.

De betrouwbaarheid van de SMS is hier in het gedrang. Dat is het hele punt. Een provider behoort zich sowieso niet met privéberichten van klanten te bemoeien door er reclame in te injecteren.

Het laat zien dat SMS niet versleuteld is dus onbruikbaar. Gelukkig is in Nederland SMS al zo dood als een pier.

Ik zie een gat in de markt voor PostNL, die kunnen ook brieven van bijvoorbeeld de belastingdienst, overheid, gemeente en de rest van de gewone post waar nog lege wit ruimte is. ook reclame erbij op drukken voordat ze deze uitleveren bij de klant.

Volgens mij is het ongeveer vergelijkbaar wat deze telecomprovider doet.

Dat doen ze ook. En al meer dan 100 jaar:
https://docplayer.nl/1749...d-4-jos-m-a-g-stroom.html

Hoezo, dat is toch absoluut niet vergelijkbaar? De inhoud van het bericht is onaangepast. Enkel de enveloppe.

De analogie hier zou zijn dat postnl je envelope open doet en op de brief zelf aanpassingen zit te doen, wat volgens mij illegaal is.

Ja dat is hoe je het bekijkt. In een onversleuteld digitaal bericht bestaat geen onderscheid tussen buiten en binnen. Alles is bytes. Iedere partij tussen verzender en ontvanger kan al die bytes lezen zonder iets kapot te maken.

Natuurlijk zijn er headers en packets etc. Dat zou je de 'buitenkant' kunnen noemen. Alleen daar kan je geen voor de ontvanger zichtbare informatie in stoppen zonder het protocol te breken.

Geen analogie houdt stand in alle opzichten.

Mijn punt is dat distributiepartijen altijd misbruik zullen maken van het aan hen toevertrouwde medium.

Overigens vind ik de advertentie nog best netjes voorzien van een header 'SMS AD:' Ik heb wel eens betaalde krantenartikelen gelezen waar dat minder duidelijk was.

Gratis verstuurd als je de achterkant wit laat

vele begrijpen niet, en terecht, dat sms geen veilige 2FA is.
maar ja wat wil je met een digitale wereld waar de evolutie sneller loopt dan je eigen schaduw.
ik ben 42 jaar, hoog technisch opgeleid, altijd ict gerelateerde job gehad en voor mij is het soms ook al moeilijk volgen. (zegt misschien meer iets over mij

Het is altijd nog beter dan niets. Er zijn zeker betere alternatieven, zoals authenticatie apps, maar die hebben ook weer een drempel voor de gebruiker.

DigiD heeft bijvoorbeeld een vriendelijk alternatief (in mijn ogen) en ook MS heeft een oplossing zonder wachtwoorden, maar wel in de vorm van 2FA. Daarnaast heb je nog de email verificatie oplossing, echter als je provider gaat rommelen met certificaten, dan zou in theorie deze ook misbruikt kunnen worden.

E-mail verificatie is ook belabberd als 2FA. Je weet nooit of je mail ergens onderweg unencrypted langs is gekomen. Ook is je mail alleen beveiligd met een gebruikersnaam en wachtwoord: dat is dus simpelweg een extra wachtwoord in plaats van een 2e factor.

Ik weet dat er e-mail diensten zijn die alleen een webportal bieden die beveiligd beschikbaar is met 2FA. Maar onderhuids gaat mail gewoon via smtp en is dat niet veel veiliger dan een random andere provider hiervoor.

Dat extra e-mail wachtwoord is ook gewoon een 2e factor.

Alles is beter dan een enkel wachtwoord voor een login. SMS, E-Mail, het bied een extra laag. Natuurlijk is een app beter, maar ik heb vaak ook nog SMS aan staan omdat het gewoon werkt. Als mijn iPhone af brand werkt SMS gewoon op elke andere telefoon waar ik mijn nummer weer op actief krijg.

Als je mij ECHT zou willen hacken moet je mijn nummer stelen of de SMS onderscheppen (nadat je het wachtwoord al weet van de betreffende website). Allemaal mogelijk, maar wel lastiger dan het enkele ww.

Daar gaat het vooral om, een extra laag, niet om 1000% veilig.

Uiteraard is het veiliger. Maar het is geen 2e factor. Een 2e factor is iets anders dan wat je al hebt.
2 wachtwoorden is geen 2 factor.

Iets wat ik weet (wachtwoord, maakt niet uit hoeveel), iets wat ik heb (certificaat, app op telefoon, etc) en iets wat ik ben (biometrie). Zijn voorbeelden van factoren die je kunt gebruiken. Maar een extra stap in de zelfde factor toevoegen geldt strikt genomen niet als 2e factor

Als ik bij een bank inlog met mijn wachtwoord en een vingerafdruk is het 2 factor authenticatie. Log ik bij de bank in mijn mijn wachtwoord, een vingerafdruk van mijn linker en eentje van mijn rechter wijsvinger dan is het nog steeds 2 factor. Voeg ik er een app op basis van een one-time password aan toe dan is het 3 factor.

Maar je moet het inderdaad gewoon inschatten. Als jij een dienst hebt die een sms verificatie biedt en verder niets dan is dat vele malen beter dan alleen je wachtwoord natuurlijk

De tweede facrtor is dan ook niet dat wachtwoord dat je in je SMS krijgt. De tweede factor is jouw telefoonnummer.

Op zich heb je een punt bij het feit dat je dan een telefoonnummer hebt. Maar ik had het over e-mail. En gezien daar alleen een ww beveiliging op zit gaat die vlieger niet op. Ik vind een sms verificatie dan ook iets veiliger dan eentje via de mail. Maar goed: beide is al beter dan geen.

Je slaat de plank helaas dan ook volledig mis. Een verificatiecode via SMS/e-mail is een iets wat je hebt, namelijk toegang tot simkaart met telefoonnummer of e-mail, en niet iets wat je weet. Anders had je de code niet nodig om hem in te vullen, dan zou je die namelijk al weten. Deze codes zijn namelijk gewoon valide OTP codes, zoals TOTP (bijv. via authenticator apps) of HOTP (bijv. een yubikey) dat ook is, alleen via een medium waar je minder zekerheid hebt dat er niet iemand tussen zit, zoals onze australische telecomprovider laat zien.

Ik snap het punt dat Mecallie probeert te maken. In zijn eerste bericht vond ik het niet duidelijk, maar bij het tweede begrijp ik zijn punt (en slaat hij de plank niet mis);
-1e factor is een wachtwoord; iets wat je kent
-2e factor hoort iets anders te zijn, iets wat je hebt (zoals toegang tot je telefoon) of iets wat je bent (biometrisch).

Het probleem is als de 2e factor een e-mail account is en deze e-mailaccount enkel beveiligd is met een wachtwoord (gelukkig hebben deze vaak al een 2FA).
In het geval dat de e-mailprovider geen 2FA heeft, dan moet je dus gewoon het wachtwoord kennen. Waardoor de 2e factor opnieuw iets is wat je kent en het dus een minderwaardige beveiliging is.

Bij een SMS doet zich dat probleem niet voor; deze kan je enkel raadplegen met een bepaald toestel; dewelke je moet bezitten; hierdoor is de 2e factor niet iets wat je kent maar iets dat je hebt.

Dat verandert eigenlijk nog helemaal niets, aangezien het gaat om de toegang tot een e-mail of toegang tot het toestel, zou ik beargumenteren dat er bij de eerste meer veiligheid ingebouwd kan worden dan bij de tweede. Een e-mail adres met wachtwoord is niet het enige wat een e-mail veilig houdt, net zoals dat een SMS onderschept kan worden via spoofing.

Het gaat dan ook niet meer om hoe het medium beveiligd is, maar dat het een ander medium is. Dat verandert niks aan het feit dat het om een OTP code gaat, deze kun je namelijk prima op een A4-tje afdrukken om te gebruiken wanneer je deze nodig hebt. Dat dit via SMS/e-mail kan komen, is slechts een gemak voor de gebruiker, en maakt het systeem niet onveiliger.

Een 2fa code kan prima op een ander e-mail adres binnen komen, hoewel ik niet weet of Google dat ondersteunt, maakt dat nog steeds niets uit over wat er nodig is: een gebruikersnaam + wachtwoord combinatie (iets wat je weet) en een OTP code (iets wat je hebt).

Sorry, maar je beredenering klopt niet.

Gezien die e-mail dienst ook alleen maar beveiligd kan zijn met een wachtwoord (echte 2fa voor e-mail bestaat niet, maar dat is een andere discussie). Als ik een wachtwoord van je account heb en je e-mail wachtwoord (zijn nog vaak hetzelfde ook) heb ik ook gewoon je OTP code. Daarmee is de 2e factor dus weg.

Als die OTP code een hardware token is, of een telefoon met een app er op dan heb ik iets fysieks nodig. Dán heb ik een 2e factor.

Laat ik het anders stellen: ik heb een MS 365 account met als wachtwoord Nummer1. Vervolgens maak ik van dat wachtwoord: Nummer1Nummer2. Heb ik nu 2 factor authenticatie? Nee?

Ok: nu heb ik een MS365 account met als ww Nummer1. En een e-mail adres met als ww Nummer2 waarop een OTP binnenkomt. En dat zou dan wel 2fa zijn? Dat is simpelweg niet zo. Je maakt het wel iets lastiger, maar het is geen OTP. Als het zo zou zijn dat je dat e-mail adres alleen kon benaderen via je vingerafdruk en het onmogelijk was dat er een unencrypted mail naar werd verstuurd zou ik je kunnen volgen, maar dat kan simpelweg niet met het smtp protocol. Hoeveel pleisters je er ook op plakt.

Een 2e factor moet iets anders zijn dan wat je al hebt. 27 wachtwoorden is nog steeds 1 factor, en heel veel moeite. Een wachtwoord en een certificaat zijn al 2 factoren.

Ik heb op al mijn e-mail anders gewoon 2fa zitten, daar kom je met alleen een wachtwoord écht niet in.

Daarnaast heeft de beveilging van je OTP code nog steeds niks te maken met het feit dat dit gewoon je tweede factor is: zonder toegang tot waar de OTP codes binnen komt, krijg je geen toegang. Het doel van 2fa is om dingen lastiger te maken voor kwaadwillenden, dus het niet afhankelijk te maken van één combinatie username + wachtwoord. Als dit een username + wachtwoord + OTP code is, dan heb je daar je tweede factor te pakken. Dat deze code wel of niet achter een wachtwoord staat doet er niks toe, je moet er toegang tot hebben. Er is een reden waarom OTP codes niet hergebruikt kunnen worden, namelijk dat je toegang moet houden tot waar je deze vandaan trekt.

Maakt het dus nog steeds niet uit of deze achter een andere e-mail zit met wachtwoord, want het houdt nog steeds tegen dat er niet ingelogd kan worden als één wachtwoord uit lekt. Daar is 2fa ook het sterkste tegen: gefisht worden op één account, brute force pogingen, een security issue waardoor je wachtwoord gelekt wordt, of perongeluk je wachtwoord ergens laten slingeren.

Als je vervolgens wachtwoorden gaat hergebruiken, is dat natuurlijk je eigen risico. Vandaar dat dat ook ten sterkste afgeraden wordt.

Ja, maar het is beter dan géén 2FA.

Leeftijd speelt geen rol, ik merk zelf dat de jonge guppies hier ook al problemen mee hebben.
Lig er maar net aan hoeveel interesse je hebt in de techniek.
Je kan zeggen, geen zin in vernieuwing want het heeft altijd gewerkt.
Of
Waarom zou ik moeten gaan veranderen, het werkt toch.

Bovenstaande meest voorkomende opmerkingen van mensen tussen de 20 tot 60 jaar

sterker nog, mensen van rond de 50 hebben actief de tijd van c64's, Apple II's Amiga's en andere prachtige hardware meegemaakt, een tijd waarin je je bewust werd dat computers niet feilloos zijn, veel interactie nodig hebben en het verrot ingewikkeld is om überhaupt iets voor elkaar te krijgen.

Tegenwoordig gaan de jongeren (ik zie het bij mijn zoon) er vanuit dat alles gewoon werkt. Zodra het mis gaat zitten ze met hun handen in het haar en hebben ze geen idee hoe op te lossen, laat staan een alternatief te zoeken.

Uiteindelijk blijft er een klein deel van de bevolking over die begrijpt hoe e.e.a. werkt, de rest roept maar wat (politici) of heeft geen idee (het gros van de mensen).

Ik kan me helemaal vinden in jou verhaal Divvid!

Vandaag is het zo "gestroomlijnd" qua functionaliteit.
Je kan iets roepen en het "werkt" om het zo maar even te mogen zeggen.

Ik ben benieuwd wat "deze" generatie(s) gaan doen.
Er is veel voor ze voorgekouwd en geregeld in hun jeugd, maar als ze straks voor het blok staan en het werkt niet... wie gaat ze helpen?

Doet me denken aan Idiocrazy:
https://www.youtube.com/watch?v=BBvIweCIgwk

Onzin, dat was vroeger ook. Genoeg bij zo'n oude hardware gestaan omdat de gebruiker in kwestie met de handen in het haar zat omdat het niet werkt. Dus laat die 'jongeren' er maar gewoon af, dat is iets van alle generaties.

Dag ligt aan je definitie van veilig. Veilig voor een targeted attack niet, veilig voor een random, bulk-based attack wel. En nog altijd 100% veiliger dan enkel een wachtwoord.

Dit is niet zo makkelijk als je het nu zegt. Ja, op papier is 2FA via SMS onveiliger dan via een app zoals Google Authenticator. Maar dit is enkel als jij een mogelijk doelwit bent voor sim-swapping, voor heel veel mensen is dat totaal niet van toepassing. Je moet je beveiliging altijd volgens je eigen threat-model implementeren. Voor heel veel mensen is een 2FA bericht via SMS afdoende en verbetert dit hun online veiligheid al enorm.

sms is een prima MFA. maar zeker niet onfeilbaar (zoals iedere) mail, sms, allemaal mee te lezen en te onderscheppen. Maar het is ook een extra controle bij je wachtwoord. Ook een authenticatie app is vaak met een screenshot / barcode over te zetten of te clonen en dus te hacken Door mee kijken of even de telefoon te gebruiken. Ook een token is mogelijk even te 'lenen'. Zelfs je vingertoppen kunnen worden gekopieerd. Het idee is dat er 2 of meer dingen zijn waardoor het veiliger is dan één. De huidige verschuiving naar (uitsluitend) OK drukken op je mobiel is in feite soms een slechtere beveiliging. Iedereen die je mobiel kan unlocken kan dan inloggen. En dus misschien slechts één enkele vorm van authenticatie. (Ervan uitgaande dat bezit van je mobiele geen authenticatie is).

Je kunt iets veilig maken maar dan is het praktisch onbruikbaar. Mensen gaan niet met kastjes werken.

Ondanks dat hier boven gezegd wordt dat google dan de enige is die reclame mag sturen slaat die natuurlijk nergens op.
Als google een sms verzend mag het er van uit gaan dat de telekom provider deze 1 op 1 doorstuurt.
zonder aanpassingen of toevoegingen.
De enige rede die ik zou kunnen bedenken voor een aanpassing is als een algoritme heeft bepaald dat er een link naar kinderp*rno oid in het bericht staat.

Maar anders kan dit echt niet.

Als je zelf een bericht verstuurd wil je deze zooi er ook niet onder hebben. Mensen gaan dit negeren en denken dat het fishing is. wat veel gevolgen kan hebben.

Ik vind dat deze provider over de grens is gegaan en ver ook. Ik weet niet hoe het zit met recht in Australië. Maar ik zou dit meteen hard aanpakken.

Een partij als google kan er natuurlijk voor kiezen helemaal geen berichten meer te versturen via deze provider, maar daar hebben de gebruikers meer last van dan de provider.

Van mij part mogen we er ook wel mee ophouden om kinderporno en terrorisme te gebruiken om allerlei kwalijke zaken zoals vergaande surveillance goed te praten.

Verder kan wat deze provider doet natuurlijk niet door de beugel, maar is het een logisch gevolg van onze kapitalistische samenleving. Elk bedrijf is constant bezig om zo veel mogelijk te verdienen en overal net die paar centen extra uit te persen.

Mee eens. Het is een lastige kwestie maar we moeten een basis houding hebben van ‘wij zijn de leverancier. Niet de editor in chief’. Want iedereen is het eens met het blokkeren van kinder misbruik, maar wat over een bericht die haat tegen LGBTQ mensen verspreid? Wil je misschien ook blokkeren maar in die maatschapij wil in alsnog niet leven. Want dan is spraak letterlijk gesensureerd

In hoeverre dit 1-op-1 te vergelijken is kan ik niet helemaal inschatten, maar ergens is het wel licht ironisch.

Verder eens dat het injecteren van advertenties in SMS onacceptabel is. Helaas is hiermee vermoedelijk een 'hek van dam'-situatie ontstaan en zitten telecom-marketeers en 'consultants' in alle uithoeken van de wereld nu vol overgave allerlei goudomrande business cases naar hun managers te mailen.

Ik ben wel benieuwd of dit alleen gebeurt met smsjes van Google bij deze provider. Of dat deze provider bij alle smsjes er ads aan toevoegd. De meeste mensen gebruiken geen sms meer (berichten gaan via Facebook/WhatsApp/Telegram/etc), waardoor die nuance wellicht niet meer opvalt.

Ik zou nooit van mijn telco accepteren dat ze mijn verkeer (inkomend of uitgaand) manipuleren.

Je kan geen scheet meer laten of er staat een advertentie op.

Ik kan mij moeilijk voorstellen dat dit moedwillig gebeurd. Eerder een gateway of relay die is gehacked aan de kant van de provider (of Google).

Misschien een 'budget' telecomprovider, bespaar op kosten, maar krijg dan wel ads in smsjes geduwd, mits daar voldoende plek in is?

In (op z'n minst) de VS is dit toch daadwerkelijk iets wat gebeurt: HTTP verbindingen worden door de ISP onderschept om in de HTML opmaak ads erbij te gooien, en er wordt actiever data gedeeld met andere bedrijven waar de ISP dan een compensatie voor ontvangt. Nu dus ook Australië die ads in SMS berichten gooit, en het lijkt me enorm sterk dat dit de enige twee voorbeelden zijn van landen waarin dit gebeurt.

Dit is moedwillig, ze staan beursgenoteerd en ook al melken ze mensen uit voor alles wat ze hebben, ze moeten groeien want de aandeelhouders willen ROI. Dus dan gaan ze op zoek naar meer mogelijkheden voor geld dan enkel uitknijpen voor het minste abonnement dat mensen nemen, en dan kom je bij zaken als ads en profielen terecht. Ieder normaal mens ziet wat voor onzin dit is, maar de beslissingen worden van hogerop gemaakt en mensen met ethische bezwaren worden aan de kant gegooid voor anderen met minder bezwaren, of de mensen met ethische bezwaren doen dit alsnog omdat ze anders mogelijk hun baan verliezen (want at-will employment). En gelobby (onder andere gesponsord via dat mooie geld dat ze hiermee hebben ontvangen) zorgt er voor dat hier minder tegen wordt gedaan door de overheid daar, want de vrije markt werkt oh zo goed!

Ehm, jaren geleden waren er providers die reclames toevoegden aan niet-HTTPS websites. Er waren in-flight providers die reclame vervingen op HTTPS-pagina's d.m.v. een TLS-MitM. Domain-registries die elke query voor een niet-bestaand domein verving door een redirect naar een reclamepagina.

Ik vind het helemaal niet moeilijk om me dit voor te stellen!

Zou je ook VPNs hebben waarmee je SMS kan beveiligen
En sinds wanneer hebben bedrijven "privacy" rond hun openbare activiteiten? Nou ja wees maar blij dat je niet in Australië woont denk ik dan.

Ik erger me er bij providers al kapot aan dat noodzakelijke berichten (je saldo/tegoed of instellingen/notificaties) vanaf hetzelfde nummer komen als reclame aanbiedingen - ik kan het nummer waarin ze reclame maken niet blokkeren omdat ik dan ook essentiele berichten mis!

(heb dit niet meegemaakt in NL maar wel in o.a. Malta en Spanje, waar de hoeveelheid spam die je per SMS krijgt sowieso verbazend hoog is)

Dat een provider nu dit gaat doen... dit is toch een directe schending van het "briefgeheim"? Alsof je een brief van je oma open maakt en er vervolgens een reclame folder in aantreft!

[Reactie gewijzigd door Alxndr op 30 juni 2021 10:44]