Honderden websites verzamelen data van webforms voordat gebruikers die versturen

Honderden websites verzamelen informatie die gebruikers in webformulieren typen en sturen die door naar trackingbedrijven, ook voordat gebruikers het formulier daadwerkelijk versturen. Dat gebeurt bij ongeveer twee procent van de populaire websites, zeggen onderzoekers.

Onderzoekers van de Nederlandse Radboud Universiteit, de Belgische KU Leuven en de Zwitserse Université de Lausanne keken naar webformulieren op de honderdduizend meestbezochte websites. Ze bouwden vervolgens een crawler die was gebaseerd op DuckDuckGo's Tracker Radar Collector. Die zoekt naar velden om e-mailadressen en wachtwoorden in webformulieren in te vullen. In dat geval onderschept de crawler ook het netwerkverkeer van die sites om te kijken welke informatie er op welk moment wordt verzonden. De onderzoekers concluderen daarbij dat bij 1844 van de 100.000 websites al informatie wordt verzonden naar derde partijen vóórdat de gebruiker het webformulier verstuurt. Dat geldt voor websites die vanuit Europa worden bezocht. Bij bezoekers uit de Verenigde Staten komt dat nog vaker voor, 2950 keer.

De onderzoekers vonden die praktijk bij formulieren die worden gebruikt om in te loggen of te registreren, of als gebruikers zich voor een nieuwsbrief wilden inschrijven. In 1844 gevallen vonden de onderzoekers scripts die een MD5-, SHA-1- of SHA-256-hash van het e-mailadres van de gebruiker naar een domein van een derde partij stuurden. In een derde van die gevallen werd dat script aangeroepen vanaf het externe domein en dus niet door het domein waar de gebruiker zich op dat moment bevindt.

De trackers komen volgens de onderzoekers het meest voor op shoppingsites, nieuwssites en sites met mode als hoofdonderwerp. In de meeste gevallen hebben de thirdpartytrackers blokkades voor wachtwoordexfiltratie ingebouwd, maar niet altijd. De onderzoekers vonden 52 websites waar ook het wachtwoord werd meegestuurd naar de derde partijen. Dat hebben de websites wel verbeterd nadat de onderzoekers contact met hen opnamen.

In de meeste gevallen werden de verzoeken ingediend vanuit bekende trackerdomeinen die volgens de onderzoekers zijn opgenomen in veel blocklists. Maar in 41 gevallen gebeurde dat niet: het domein was daar niet bekend. De onderzoekers concluderen ook dat het verzamelen van de adressen waarschijnlijk niet mag onder de AVG. De verzameling gebeurt namelijk zonder toestemming en heeft verder geen grondslag waaronder het bijvoorbeeld nodig is dat de gegevens worden verzameld. De onderzoekers zien het verschil in websitebezoek tussen de EU en de VS ook als teken dat adverteerders zich aan de AVG houden.

Reacties (132)

Ik mis de tip: hoe voorkom je dit als browser gebruiker

Die tips staan in de bron:
https://homes.esat.kuleuv...aky-forms/#leak-inspector

inderdaad.
JavaScript uitschakelen, Tor browser via VPN gebruiken en 10 minute email aanmaken voor iedere site.

Gaat me allemaal wat ver en beperkt je nogal online.

of een domain aanvragen (8 euro per jaar) en een catchall instellen. Werkt prima. [e-mail] of wat je maar wilt gebruiken vóór de @. Alles komt aan in je mailbox.

edit:typo

[Reactie gewijzigd door david-v op 12 mei 2022 09:19]

Ik heb dat ook maar door alle gecombineerde gegevens weten veel bedrijven toch dat het domein bij jouw hoort.
Het zou me ook niks verbazen dat ze dan alles op een hoop gooien.

Dus wat je volgens mij wil is gedeelde domeinnaam en IP adressen.

Ik denk dat bedrijven dit soort informatie niet met elkaar delen, volgens mij mag dat niet eens in de EU. VPN gebruiken is uiteraard ook wel handig, naast uBlock Origin en ClearURLs plugin. Ik denk dat je daarmee wel 99% kan tegenhouden.

edit:typo

[Reactie gewijzigd door david-v op 13 mei 2022 19:28]

Ik denk dat bedrijven dit soort informatie niet met elkaar delen

Totdat ze dezelfde tracker-leverancier hebben die wel de gegevens van verschillende bronnen kan ge-/mis-bruiken.

Mag het email adres zomaar aan derden geleverd worden? Ik zou het ook wel knap vinden als ze kunnen ontdekken dat allerlei verschillende email adressen van een en hetzelfde domain van dezelfde persoon afkomstig is, maar dat even terzijde. ik zei niet voor niks 99%

Mag het email adres zomaar aan derden geleverd worden?

Precies de reden dat deze praktijk nieuwswaardig is:

De onderzoekers concluderen ook dat het verzamelen van de adressen waarschijnlijk niet mag onder de AVG. De verzameling gebeurt namelijk zonder toestemming en heeft verder geen grondslag waaronder het bijvoorbeeld nodig is dat de gegevens worden verzameld.

Je hebt gelijk, dat had ik gemist. Dank. Blijft alleen nog de slimmigheid van de profilering om te ontdekken dat het om één persoon gaat achter dat domain. In combinatie met VPN lijkt me dat best lastig en niet rendabel aangezien het niet heel vaak zal voorkomen

ClenaURLs

ClearURLs bedoel je? Zo ja, bedankt voor de tip!

Edit: bij nader inzien is dit toch wel een erg ingrijpende plugin, misschien kies ik een alternatieve die iets minder rigoureus te werk gaat.

[Reactie gewijzigd door Randfiguur op 13 mei 2022 19:48]

Oh haha, ja die, heb de tekst aangepast en link erbij. Ik gebruik de edge extensie.

Dus wat je volgens mij wil is gedeelde domeinnaam en IP adressen.

Dus zeg maar iets als - outlook.com of gmail.com ( of één van de duizenden andere aanbieders )

Precies.

Daar dacht ik ook aan, en heb ik zelfs geïmplementeerd via Simplelogin, maar je voorkomt er niet het probleem mee, namelijk dat trackingbedrijven je nog makkelijker in een profiel kunnen stoppen aan de hand van dat ene, bijzondere domein dat bij niemand anders voorkomt maar keurig alle websites verbindt waar jij persoonlijk gebruik van maakt.
Je zou er bijna moedeloos van worden.

Daar dacht ik ook aan, en heb ik zelfs geïmplementeerd via Simplelogin, maar je voorkomt er niet het probleem mee, namelijk dat trackingbedrijven je nog makkelijker in een profiel kunnen stoppen aan de hand van dat ene, bijzondere domein dat bij niemand anders voorkomt maar keurig alle websites verbindt waar jij persoonlijk gebruik van maakt.
Je zou er bijna moedeloos van worden.

Ja en nee, die tracking bedrijven weten niet dat jij de enige bent achter dat domein. Nu geloof ik best dat ze daar met genoeg moeite wel achter komen maar ik denk dat het voor de meesten een struikelblok zou zijn. Dat zeg ik overigens puur op ervaring met programmeren, niet op grond van ervaring met tracking. Ik weet niet hoe geavanceerd ze zijn. Maar als het lijkt op de rest van de softwaremarkt dan zal 90% troep zijn.

Als extra hobbeltje zou je ook nog subdomeinen aan kunnen maken.

Ik heb een kennis die mailt vanaf <website>@spam.van.<naam>.nl.
(Ja, inclusief de tekst spam, en waag het niet dat er automatisch uit te laten knippen door je spambot )

Heel leuk maar dat is geen oplossing voor de simpele gebruiker.
Maar het geeft wel aan dat de vervelende vraag of je cookies wilt gebruiken geen nut heeft. Maar dat had ik al vanaf het begin gezien toen men verplicht om het plaatsen van cookies moest vragen, nog steeds kon je de trackers en andere zooi detecteren.

Ik schat de gemiddelde tweaker iets hoger dan "simpele" gebruiker

Dat van die cookies is dan ook het ergste wat ooit bedacht is. Ze hadden voor de standaard moeten gaan van alleen noodzakelijke cookies toestaan en de rest alleen optin via de instellingen van je account. Kom je op een website waar je zonder account terecht kan, dan alleen de technisch noodzakelijke cookies. Geen popup meer. Aangezien ik regelmatig alles opschonen krijg ik die popup vraag continu...zucht.

Ik schat de gemiddelde tweaker iets hoger dan "simpele" gebruiker

Dat is het punt niet. Punt is dat je alle gebruikers op een eenvoudige manier wilt beschermen. De hier aangedragen oplossingen volstaan in dat geval niet.

Er is geen enkele manier om alle gebruikers te beschermen tegen dit soort "acties" van websites. Sommige websites doen dit waarschijnlijk niet eens bewust. Dan blijft alleen nog over wat je zelf kan doen om dit te voorkomen. Daar gaat mijn post over.

De cookie statement heeft het internet gebruik echt ingrijpend veranderd. Noodzakelijk als de boodschap is mogen we voor gebruiksgemak wel wat regelgeving komen om mensen auto-decline of accept functies te geven. Nu is het functioneel net zo waardevol als de gemiddelde ToA

Ik heb het zelf niet geprobeerd, maar Firefox biedt een vergelijkbare service aan, maar dan uiteraard onder hun eigen domein. https://relay.firefox.com/

Kost een paar centen per jaar extra maar dan valt die info dus niet te combineren.

Genoeg services die het nu al blokkeren, net als 10minutemail, tijdelijke-email, VPNs etc..

Met tijdelijke email ben je natuurlijk je communicatie kanaal snel kwijt, wat misschien niet ideaal is. En inderdaad, ook met aliassen moet je nog steeds een VPN gebruiken als je niet gevolgd wil worden.

Nadeel hiervan is dat er de mogelijkheid bestaat dat meneer of mevrouw de spammer erachter komt/detecteert dat het een catchall is. En dan ben je de sjaak, want succes met dat te blokkeren.

Tot nu toe geen last gehad van dit probleem. Mocht dat voorkomen, dan neem ik een andere domainnaam. De domain namen die ik kies zijn over het algemeen niet onvervangbaar, ik gebruik ze alleen hiervoor.

Precies om deze reden gebruik ik geen catchall, maar aliassen
Wordt een alias misbruikt voor spam => delete

[Reactie gewijzigd door hackerhater op 12 mei 2022 10:27]

Je haalt iets door elkaar denk ik... alle aliassen die niet naar een specifieke mailbox gaan komen in de catch-all mailbox terecht.

Nee, ik maak aliassen voor de inbox van mijn hoofd-adres.
Elke alias is een adres voor een specifieke website.

Je bedoelt hetzelfde als ik zeg

Je hebt een domein en standaard komen alle mailtjes voor dat domein in je catch-all terecht. Als je echter aparte mailboxen maakt en je alias daarnaar verwijst, dan komen ze in die aparte mailbox en niet meer in je catch-all.

Misschien dat jij geen aparte mailboxen hebt en alleen catch-all. Ik heb er zelf wel een paar aangemaakt, nl. persoonlijk (voor mailtjes direct aan mij gericht - voornamelijk vrienden en familie) en nieuwsbrieven. Al het overige komt in de catch-all. Ik heb dit 15 jaar geleden ingesteld na een vakantie in Patagonië, waar ik via een inbelverbinding de honderden spammailtjes moest verwijderen om bij de echte mail te komen. Werkt erg handig vind ik.

Ik denk dat hij geen catch-all aan heeft staan en telkens een alias aanmaakt.
Kan ook, meer controle maar meer werk.

Dat is zeker ook wel een optie, maar dan moet je wel eerst de alias aanmaken voordat je die gaat gebruiken, je wilt immers wel de mails ontvangen die naar die alias gestuurd worden. Niet alle diensten bieden die mogelijkheid of vragen meer geld voor ongelimiteerd aantal aliases. Ik heb de keuze gemaakt voor een catchall, en ja, dat heeft het nadeel wat je net noemt. Het voordeel is dat zodra ik ergens een email adres moet opgeven ik direct de [e-mail] kan doorgeven. Ze kijken je eerst heel raar aan, sommige zeggen zelfs dat het een nep email adres is die niet bestaat .

Wat me nog niet gelukt is is om bij het replyen ook het opgegeven email adres te gebruiken in de from veld. Dat is niet altijd even triviaal. Moet ik nog wat voor doen.

Ja om dat goed te doen heb je eigenlijk je eigen domein met toegang tot adres-beheer nodig.
Ik heb mijn eigen server dus ik kan instellen wat ik maar wil.

[Reactie gewijzigd door hackerhater op 12 mei 2022 11:39]

Je probleemstelling is dus eigenlijk: Ik wil a la minute een random adres kunnen roepen, en later de mogelijkheid hebben dat adres als from: te gebruiken.

Dan kun je in de winkel gewoon doen zoals je nu doet, en eens je uit wilt zenden kun je een alias of een boxje aanmaken. Low tech, maar dat werkt volgens mij prima.

Klopt, maar dan moet je naast een domain ook email diensten gaan afnemen en dat is duurder. Ik heb achter de catchall een betaalde email dienst en van daaruit zou ik dat willen doen, maar het toevoegen van een externe domain (en bijbehorende aliases) is niet triviaal. Ik probeer het low cost en low tech te houden

Zoiets is anders wel mogelijk via SimpleLogin. Niet zero-cost voor de features die je wil, denk ik, maar imho wel low-cost, en low-tech. (Ik gebruik de gratis tier, maar overweeg te upgraden om m'n eigen domein te kunnen gebruiken.)

Je kan daar "regex catch-alls" aanmaken, catchalls die toch aan bepaalde vormvereisten moeten voldoen voor ze geaccepteerd worden, en omgezet worden in een alias vanzodra er een mail binnenkomt. Je kan ook vanaf aliassen versturen.

Kan niet wachten dat Proton dit gaat implementeren in hun e-maildienst. Hopelijk kun je dan met een paar klikken mail versturen en ontvangen vanaf een SimpleLogin-mailadres.

precies.. herkenbaar! Sommige bedrijven zijn zelfs enthousiast, als ze een eigen e-mailadres hebben gekregen

Ik heb een Google Suite account met een catch-all. Spam wordt prima gefilterd door Google en doorgaans komt er alleen relevante mail op de adressen, die ik opgegeven heb bij de desbetreffende winkel/instantie/etc. Dit werkt erg goed

Ik had dat vroeger ook via google maar ben nu ook aan het degooglen, dus email gaat voortaan via (betaalde) mailbox.org

Dat doet niks voor de invoer van het wachtwoordveld wat naar een 3rd party gaat.

Dat heb ik dus. En inmiddels een kleine 200 aliassen op mijn mailbox (waaronder [e-mail])

Wat gebruik jij om je e-mail te hosten als ik vragen mag?
Even een catch-all email opzetten lijkt me wel een nuttig vrijdagavond projectje

Ik maak gebruik van mailbox.org voor mij e-mail. De catch-all configureer je bij je domein provider. Die moet dan wel catch all ondersteunen. Ik maak gebruik van een kleine partij, mihos.net. lekker low cost

sommige mailproviders ondersteunen ook een '+' hiervoor. 'k Weet dat dit bij gmail werkt, daar kan je bv het volgende doen: [e-mail]

Dat kan, maar bij sommige websites is een + in je mail adres niet toegestaan.

Wat je wel kan doen, maar het praktische nut is minder denk ik, is bijvoorbeeld bij e-mail adres [e-mail] kan je [e-mail] of [e-mail] gebruiken. het komt allemaal aan. Gmail haalt alle "." weg in de tekst vóór de @.

tnx! die kon ik nog niet

Aanvulling: Combinatie van één puntje met een plus werkt natuurlijk ook. Daarnaast kun je ook nog @googlemail(.)com gebruiken. n.aam+tekst@googlemail(.)com kan dus.
Echter een verstandig mens blijft uit de buurt van de diensten van Google. Bovenstaande principe werkt overigens ook bij Proton.

Een 10-minute email of andere diensten hebben ook nadelen. In feite weet je niet waar de mail heen gaat, omdat die diensten natuurlijk heel geheim werken.

Een aantal werken samen met anti-spam diensten en die hebben ook big-data (ze zullen het niet snel delen, maar weggooien doen ze zeker niet). Nu hebben we nog geen data lekken gezien van anti-spam diensten, maar uitgesloten is dat ook niet.

Geen idee of er nog andere actoren zijn die zoiets opzetten. Ik vermoed van wel; geeft veel inzicht in het email landschap.

Je kan beter een eigen domein gebruiken met een catchall.

edit: Veelvuldig gebruik van tijdelijke email adressen maakt ook profilering mogelijk door de tijdelijke email dienst.

[Reactie gewijzigd door codekloppertje op 12 mei 2022 10:12]

Ja uitschakelen, succes met internet. De beste manier is gewoon zelf nadenken op welke sites je info achterlaat. En welke gegevens..

Op een plaats waar je verplicht een geboortedatum moet invullen, maar die ze niet nodig hebben, vul ik dus altijd 01-01-1980 in (de datum die een XT-computer gebruikte als de batterij op was). En zo heb ik wel meer van die dingen: tot 2001 vulde ik vaak Afghanistan in als land (want 1e in lijst), als straat geef ik vaak Dorpstraat op etc. Als ze het niet nodig hebben dan vul ik fake data in. Als er iets bezorgd moet worden, of het is iets officieels dan vul ik de echte gegevens in (en nog steeds een alias voor mail).

Was dat niet 1970?

Da's volgens mij Unix. Rond 1984/1985 kwam er bij ons thuis een XT (met een 8086 processor) en MS-DOS erop. En die had echt als default datum 1 januari 1980... vaak genoeg gezien

Het grote probleem met trackers is dat je niet bewust kiest informatie achter te laten. Ze bouwen een gedetailleerd profiel van je op basis van browsegedrag, software-informatie en hardware-informatie. Waar jij je ook bevindt op internet onder welke pseudoniemen dan ook, is er een grote kans dat je door fingerprinting geïdentificeerd wordt. Dit kan zelfs als je je verbergt achter een VPN.

Helaas niet. Heb ervaring met 'n bank in Nederland (geen kleintje) die mijn mailadres lekte aan derden. Niet één adres, zelfs twee. Om die reden weet ik ook dat zij nooit de andere gedupeerde ingelicht hebben.

Je kan ook data stelen via CSS, iets lastiger, maar nog steeds relatief simpel.
https://vwzq.net/slides/2019-s3_css_injection_attacks.pdf

(update: Betere bron)

[Reactie gewijzigd door DevWouter op 12 mei 2022 10:35]

Niet, dat is het probleem.
Wellicht klachten sturen naar browser bouwers (dat ze forms data somehow afschermen tegen vroegtijdige doorgave) of de AP.

Maar ja, het grootste probleem is dat je hier zo goed als niet achterkomt. Laat staan wanneer die zaken versleutelde verstuurd worden.

Of gewoon een extensie maken die bogus data verstuurt, dan leren ze het wel af als 2 % van de internet gebruikers dit doen.

Je bedoeld zo iets als adnauseam? https://adnauseam.io/

Die klikt alleen op advertenties als ik het mij goed herinner.

Die blokkeert ook tegenwoordig op basis van dezelfde filters als uBlock (is het ook op gebaseerd).

https://lifehacker.com/co...rome-extension-1846337139

"AdNauseam is a lightweight browser extension that blends software tool and artware intervention to actively fight back against tracking by advertising networks. AdNauseam works like an ad-blocker (it is built atop uBlock Origin) to silently simulate clicks on each blocked ad, confusing trackers as to one's real interests. At the same time, AdNauseam serves as a means of voicing your discontent with advertising networks that disregard privacy and engage in bulk surveillance."

edit: Hij "Hide" ze indien ingesteld, en dan wordt er op geklikt.

[Reactie gewijzigd door WizX op 12 mei 2022 13:23]

Ik dacht dat het inderdaad alleen was om fake clicks te sturen naar alle ads die geladen werden. En dat inderdaad verborg en uitzocht a.d.v. ublock lists.

ja mee eens, want je kunt die wel blocken op je pihole of je firewall, maar dat heeft geen nut.
De calls worden gemaakt vanaf de webserver richting de tracker, dus heb je er geen invloed op.
Het enige wat je kunt doen is nooit meer een webform invullen.

Misschien dat ik het verkeerd lees maar het gaat hier om calls voor het submitten van een form. Daar weet de webserver dus nog niets van. Dit wordt client side verstuurd door een actie in de pagina. Daar werken blockers wel degelijk tegen.

[Reactie gewijzigd door Korvaag op 12 mei 2022 10:43]

Ja in dat geval heb je gelijk. Maar als dat serverside is, dan uiteraard niet.
Maar ik denk dat er wel Dev's zijn die hier iets zinnigs over kunnen vertellen. Ik zou dat wel eens schematisch via een tekening uitgelegd willen zien.

Een wijziging op het veld kan ook een postback triggeren. Zeker als je controles op het veld wil uitvoeren en je een serversided language gebruikt.

combinatie van ublock en canvas fingerprint blocker

Top ublock had ik al, die andere moet ik dus ook hebben

Volgens het artikel staan de meeste domeinen al op blocklists. Dus ik vermoed dat plugins als ublockorigin of dingen als Pihole dit al blokkeren

Zaken als addblockers en Adguard en/of Pi-holes lossen dit probleem dus op. Een zeer groot deel van de gebruikers heeft deze niet, maar dit soort berichten tonen eigenlijk de noodzaak wel aan.

In het onderliggende artikel wordt een proof-of-concept-oplossing gegeven: LeakInspector.
Een tool die ze zelf ontwikkeld hebben.
Geen idee over de status en of het echt werkt, maar het lijkt me de moeite waard om te proberen.

Ik vind al deze dataverzameling heel erg eng worden...

Noscript lijkt me een goede.

gewoon niet invullen

Wat anderen ook al zeggen, anti-tracker addons zoals ublock, ghostery (? ik weet niet of die ondertussen corrupt is), en een pihole; soms ondersteunt een webshop ook paypal die het adres direct aan de webshop door kan sturen (zonder dat een 3rd party tracker bij je info kan... maar neem dat met een grote korrel zout).

Maar dat is het probleem hierbij, het wordt overgelaten aan de individuen, de slachtoffers. Gelukkig zijn er mensen binnen de EU die hiervoor opgekomen zijn - en nog steeds zijn - en is er de GDPR die dit soort praktijken illegaal maakt.

Interessant dat de NOS hier bijna een volle dag eerder mee was: https://nos.nl/artikel/24...ine-je-e-mailadres-invult

Maar was dit niet al gewoon algemene kennis? Als web developer kom ik de meest invasieve dingen tegen, tools als HotJar die gewoon je muis volgen en als filmpje af kunnen spelen, met hotspots van waar je het langste met je muis of qua scrollpositie bent blijven hangen.

Sommige sites hebben zelfs volledige keyloggers ingebakken om te zien hoe je je muis en toetsenbord gebruikt, alle keystrokes worden dan verzonden en op basis van een rapport wordt die data gefilterd op de relevante keystrokes, maar de data is volledig beschikbaar en per input in te zien. Dat gebeurt in de meeste gevallen niet eens als hash, maar gewoon as-is.

Dit lijkt me toch geen algemene kennis voor het gemiddelde publiek? Al zal het veel lezers hier waarschijnlijk niet verbazen.

Ter info, op de gelinkte website ( https://homes.esat.kuleuven.be/~asenol/leaky-forms/ ) staan ook alle resultaten, dus op welke websites er al gegevens werden verstuurd en naar welke tracker.

Mooi onderzoek in ieder geval. Spijtig resultaat.

Edit: als je zoekt op .nl

www.hostnet.nl
www.vogelbescherming.nl
www.bruna.nl
www.ritel.nl
www.iexprofs.nl

Vogelbescherming lijkt me dan typisch zoiets dat onbedoeld en zonder het zelf te weten dit soort dingen doet; met dank aan hun analytics software. Dat is misschien nog wel erger. (Of misschien gewoon een naïeve aanname van mij.)

Edit 2: in het NOS-artikel staat een reactie van de Vogelbescherming. Het was een naïeve aanname van mij.

[Reactie gewijzigd door erwn op 12 mei 2022 10:23]

Van de vogelbescherming vind ik het inderdaad diep triest. De informatie die ze willen krijgen ze ook al als het formulier wordt ingevuld dus ik zie de noodzaak er niet zo van om luistervinkje* te spelen tijdens de invoer. Laten ze hun bezoekers ook eens net zo beschermen als de vogels.

* I'll see myself out

Een groot probleem hier is dat in veel gevallen automatisch invullen al aanstaat in de browser.
Some heeft Chrome of Firefox het halve formulier al met jouw NAW ingevuld.

Dat is dan ook al 'binnen' bij de betreffende uitbater.

Schrik niet (zal geen namen noemen) over welke goede doelen aan “ux-tracking” doen. Ofwel: wat wou men typen in de formulieren en wat heeft men uiteindelijk verstuurd. Zijn verschillende stichtingen erg druk mee bezig. En dan heb ik het over 2016.

Ik zie toch nog wel een verschil tussen HotJar die anoniem (volgens hun bewering) bewegingen volgt en dit.
Ik zie Hotjar dan meer als een hulpmiddel om je site intuïtiever te maken, zolang het niet gekoppeld wordt aan een profiel. En voor zover ik weet, gebeurt dat koppelen niet. Mocht dat wel zo zijn (klant X heeft dit en dit gedaan op de site), dan valt het inderdaad in dezelfde categorie en is het even verontrustend.

Het doorsturen van email adressen en zo, vind ik al een stuk kwalijker en mag gerust bestraft worden met zeer zware boetes.

Als eindgebruiker ken ik HotJar niet. Ik heb geen enkele reden om ze te vetrouwen. Ik heb niet eens een contract met ze. Dat ze nu goed om gaan met de data neem ik van je aan maar de volgende eigenaar kan daar heel anders over denken en een eventuele inbreker (dat gebeurt overal) ook niet.

Verder is mijn ervaring dat de meeste mensen niet zo sterk zijn in het overzien van privacy(wetgeving), dat er overal oogjes dicht worden geknepen en kantjes er vanaf gelopen. Bedrijven die iets met tracking doen zoeken al snel de grens op. Als je dat combineert met de typische menselijke gebreken dan ga ik er maar van uit dat ze over de grens gaan en verder dan ze zelf weten.
Daar is geen boze opzegt voor nodig, alleen het bewust dicht bij de grens gaan zitten ipv een ruime veiligheidsmarge te houden.

Overigens vind ik het creepy dat mensen zo in detail gevolgd worden, of dat nu anoniem is of niet.

Het probleem is dat veel marketingafdelingen een hele suite aan tools op de website dumpen waarbij allerlei informatie wordt verzameld die dus wel te herleiden is naar een persoon.

Als het puur HotJar en misschien Google Analytics is waarbij met data sampling wordt gewerkt, dan is het niet zo'n probleem. Maar met veel van die tools kun je gewoon inzoomen op een individuele gebruiker en alle bezoeken van die gebruiker analyseren.

Dat zeg ik ook in mijn post. Zolang er niet gekoppeld wordt aan een profiel, heb ik er niet onmiddellijk zo'n probleem mee.

Dergelijke tools kunnen een site veel verbeteren. Maar één stapje verder (koppelen) is direct de stap te ver.
Heb HotJar nog nooit gebruikt dus of hun eigen bewering klopt dat er niet gekoppeld wordt, weet ik niet maar ergens ga ik uit dat het klopt. Het is een commercieel bedrijf en die moeten toch iets meer opletten hoe ze omgaan met data.

Ik gebruik gewoon noscript en zet heel selectief dingen aan om te zorgen voor een site die ik kan lezen / gebruiken. Al die andere troep blijft eruit. En als het eenmaal werkt dan in andere volgorde dingen uitgooien om zo weinig mogelijk aan te hebben.

Kost initieel wat moeite, maar daarna heb je gewoon sites die werken.
Bij sommige sites als kijk.nl en npostart.nl haal je gewoon de video advertenties weg hiermee, wat wel grappig is.

Dat in combinatie met iedere site in een eigen container(multiaccount containers). En dan eens per week je settings exporteren, dat je altijd een backup te hebben.

Dit alles icm ublock zou 99 % wel blocken.

Ook ik dacht dat ik bij was. Maar dit verbaast me . Juist omdat de gemiddelde internet gebruiker dit vermoed ik niet eens weet. Maakt mij dus ook een gemiddelde gebruiker. Is dat niet strafbaar ? En hoe kan je zoiets testen? Er lekt immers steeds meer heimelijke dat weg. En om het te kunnen controleren moet je goed thuis zijn in de bron en diens opbouw.

Tegelijk vraag ik me dan af of dit geen antwoord is op zaken zoals ghostery lightbeam ed....

Het bekijken van de pagina van de onderzoekers, is wel de moeite waard. Het bevat een zoekfunctie om de sites te zien. Om een paar op te noemen: Ledger, Trello, Time, Udemy, TheVerge, Shopify, Prezi, Norton, Codecademy, Cloudflare, Starbucks, MongoDB, Weightwatchers, Telegram, Vultr, Yandex, GitLab, Mcafee, WebMD, Heathline,

Onder de collectors zitten Facebook en Tiktok.

Facebook

Dat verbaast me dan weer niets. Al terug in 2010 toen ik de minified scripts voor hun share/like/etc. widgets aan het ontleden was om een compatibility-probleem terug te traceren, kwam ik code tegen die globale change listeners inhaakte en elke wijziging van elk invoer veld op de webpagina oplepelde en met een XmlHttpRequest richting Facebook's servers wegscheepte.

Kunnen we deze troep gewoon noemen wat het is?
Namelijk een f---ing ordinaire key logger - met al het bijhorende stigma.

[Reactie gewijzigd door R4gnax op 12 mei 2022 10:15]

Triest dat er toch wel een aantal al in jou lijstje staan waar ik toch meer van verwacht had, Udemy, Codeacademy en GitLab vind ik nogal het frappantste hebben ze ook tutorials/repos er voor op hun eigen site staan?

WebMD is ook leuk, is Facebook meteen op de hoogte van eventuele gezondheidsklachten.

"Vertrouwen" op het internet betekent gewoon "marge om met zaken weg te komen".

Tja is dat te voorkomen en wat doen of willen we ermee ?
Volgens Ublock en Privacy badger nu op deze pagina actief :
securepubads.g.doubleclick.net
www.google-analytics.com
w.usabilla.com
doubleclick.net
persgroep.digital

De doubleclick en google-analytics gaan binnenkort weg. Persgroep.digital is het cdn van de persgroep en daar komen de vacature plaatjes op de frontpage vandaan. Dat domein doet verder niet aan tracking, bij mij zijn er iig geen cookies gezet en ik krijg ook geen cookiemelding terug. Zouden we eventueel wel weg kunnen werken.

Usabilla is een tool om feedback van gebruikers mee te verzamelen

Dank je wel Kees, alweer wat geleerd vandaag, stel ik altijd op prijs.

plan: Tweakers stopt met thirdpartytracking en cookiemuur

Tja, Tweakers is niet van zichzelf en moet dus in zekere mate meedoen met wat de grote mama wil. En er moeten ook kosten gedekt worden.

Vooral het stukje duidelijkheid lijkt mij het belangrijkste.
Zet maar overdreven groot neer wat je meet, hoe en waarom, dan hebben de meeste er geen probleem mee.

Dit is mij een jaar of drie geleden ook gebeurd bij Swapfiets. Voor de lul even gekeken wat het uiteindelijk zal kosten, zonder de bestelprocedure af te sluiten. De volgende dag kreeg ik serieus een belletje van Swapfiets. Toen ik vroeg hoe ze aan mijn gegevens kwamen (zonder een aangemaakte account uiteraard) zeiden ze dat ze het deels ingevulde formulier nog kunnen zien. Sindsdien ben ik hier iets voorzichtiger mee.

Hopelijk heb je geleerd om voor het uitproberen van een inschrijfformulier, en wie probeert dat nu nooit, telefoonnummer 0612345678 in te vullen. Degene die dat fantastische nummer heeft moet wel gek worden van marketeers.

Ook voor formulieren waar een telefoon verplicht is maar totaal niet relevant is, is dat een fantastisch telefoonnummer om te gebruiken.

Zo, dat zou voor mij gelijk genoeg reden zijn om dat bedrijf permanent op de blacklist te zetten... Als ze hier geen problemen mee hebben dan kun je raden wat voor bedrijf het verder is.

Swapfiets is echt niet de enige.
Ook een "bekende fitness toko" deed dat. Daar hadden ze tenminste nog een smoesje "wij hadden technische problemen en hebben mogelijk jouw aanmelding gemist".

Word dus tijd dat dit soort wanpraktijken juridisch aangepakt gaan worden. Ben blij dat ik in mijn browser Ublock en privacy-badger, plus de nodige adblockers geïnstalleerd heb. Maar het merendeel van de argeloze gebruikers heeft dat dus niet en deze doelgroep is sowieso gevoelig wat privacy betreft (het gebrek er aan) mede door onkunde en onverschilligheid.

[Reactie gewijzigd door MazDaMan1970 op 12 mei 2022 11:34]

Een adblocker hoeft dit soort praktijken niet tegen te gaan. Het versturen van de data voordat het formulier wordt bevestigd kan simpelweg ingebakken zijn in de code. Ga er dus niet vanuit dat je veilig bent met deze add-ons.

Het is natuurlijk niet altijd kwaadaardig als je data van een formulier alvast verstuurt naar de server voordat de gebruiker op een knop drukt. Denk bijvoorbeeld aan het automatisch invullen van een woonplaats/straatnaam op het moment dat je een postcode invult. Of je emailadres direct bij het invullen van een registratieformulier controleren zodat je niet pas na het versturen van het formulier te zien krijgt dat het emailadres al in gebruik is.

Maar de data moet dan wel naar de website gaan waar je op dat moment mee aan het praten bent, en niet een derde partij waarvan je geen idee heeft wat die met de data doet.

Als ik in de e-mail leak resultaten zoek bij het onderzoek vangt uBlock Origin 180 van de 222 pagina’s af. Dat is een heel flink deel. Security, maar ook privacy comes in layers natuurlijk.

Nee, daarmee wil ik alleen aangegeven dat adblockers ernaast noodzakelijk zijn, om geen rotzooi binnen te krijgen.

Geen fijne combi met de auto-aanvul opties die tegenwoordig gebruikt worden.

Correct. Vroeger kon men gewoon een hidden credit card formulier meesturen. Die werd door een browser automatisch ingevuld.

Heb me altijd afgevraagd of dit kon. Ja dus.

Zo vraag ik mij ook wel eens af of de tekst in een chat naar bijv KPN of een ander bedrijf ook al gelezen kan worden voordat er op "verzenden" is geklikt?

Dat kan zeker, al jarenlang. Tik maar eens in google in "wat is de grootste " en je ziet meteen suggesties, Kan niet anders dan Google weet op dat moment al wat je aan het intypen bent; bij chatboxen werkt het hetzelfde.

Ja dat is waar natuurlijk. Niet aan gedacht. Bij een chatbot snap ik deze functie wel, de software erachter kan immers sneller het antwoord zoeken. Maar zou dit ook gebruikt worden bij een chat helpdesk waar een persoon aan de andere kant zit? Lijkt me onhandig om stukken tekst te lezen die nog gecorrigeerd worden door de vraagsteller. Of krijgt die dan zoiets te zien:

Waar kan het ik mijn kabouter router het beste plaatsen? Pff dit duurt lang

Of krijgt deze alleen de uiteindelijke tekst te zien na het drukken op "verzenden"?

Ik ga niet zeggen dat het niet gebeurd maar van de chats die ik zover heb gedaan lijkt het er niet echt op. Bij veel chats zie je wanneer de andere aan het typen is (uiteraard zou dit ook nep kunnen zijn). Maar er even van uit gaan dat het echt is zie ik mensen pas typen na mijn vraag/reactie. Kan me moeilijk voorstellen dat ze een bepaalde laat typen zien aan/uit knop hebben of dat de software slim genoeg is om dit automatisch te verbergen. Ook heb ik nooit het gevoel gehad dat iets te snel getypt is. Al zijn er natuurlijk verschillende chat programma's en zal ik ze nog lang niet allemaal hebben gezien.

Bij chatboxen heeft het nog zin, dan men aan de andere kant al beginnen met antwoorden zoeken terwijl iemand aan het typen is.

En het is ook niet per definitie verkeerd... totdat je het gaat doorsturen en/of zonder toestemming gaat gebruiken.

Soms ben ik bezig met het invullen van een groot formulier en dan komt er wat tussendoor. Dan ben ik wel blij dat niet alles verdwenen is.

Ik ben benieuwd of hier ook invoervelden zijn meegenomen van live chats. Ik weet niet of dat het minder kwalijk maakt, maar dat is wel een functie die wordt gebruikt voor klantenservicemedewerkers om alvast na te denken (of actie te ondernemen) over de volgende stap.

Ik benoem dit omdat ik er persoonlijk minder moeite mee zou hebben als dit (ook voor de gebruiker) functioneel kan zijn.

Ik benoem dit omdat ik er persoonlijk minder moeite mee zou hebben als dit (ook voor de gebruiker) functioneel kan zijn.

Ik noem dat eerder hostile naar de gebruiker, want het geeft de medewerker meteen inzicht in hoe zeker de gebruiker is van zaken en hoe vertrouwt deze is in het handelen daarop; of afhandelen daarvan.

Cq. munitie om mee te schieten als mensen afgewimpeld moeten worden.

Verregaande tracking, browser fingerprinting en nu dit. En maar klagen als de regels aangescherpt worden en mensen steeds meer adblockers en andere privacy plug-ins gaan gebruiken.

En juist daaroverkrijg ik steeds meer twijfels. Doen die wel wat ze beloven?