Twitter krijgt miljoenenboete voor gebruik telefoonnummers voor gerichte reclame

Twitter gaat een boete van 150 miljoen dollar betalen voor het gebruiken van telefoonnummers van gebruikers voor gerichte advertenties. De boete is opgelegd door de Federal Trade Commission in de Verenigde Staten.

Twitter heeft het telefoonnummer dat gebruikers opgeven om hun account te beveiligen gebruikt om gerichte advertenties te tonen aan de betreffende gebruikers. Daarom legt de FTC een boete van 150 miljoen dollar op. Volgens voorzitter Lina M. Khan van de autoriteit "verkreeg Twitter de telefoonnummers onder het voorwendsel om het account van gebruikers veiliger te maken, maar gebruikte de data om gerichte advertenties te tonen aan gebruikers", aldus de voorzitter.

In 2019 werd bekend dat Twitter mailadressen en telefoonnummers gebruikte voor advertenties. Het bedrijf heeft sindsdien deze praktijk stopgezet. Volgens het onderzoek zijn van 140 miljoen gebruikers de telefoonnummers onrechtmatig gebruikt voor gerichte advertenties. Het bedrijf wilde in eerste instantie niet zeggen hoeveel gebruikers zijn getroffen.

Twitter heeft bekendgemaakt mee te werken met de FTC en de boete te gaan betalen. Daarnaast heeft de FTC nog een aantal andere eisen gesteld aan Twitter. Het platform wordt verplicht om andere authenticatiemethodes aan te bieden, waarvoor gebruikers geen telefoonnummer hoeven op te geven. Ook moet het bedrijf de getroffen gebruikers gaan informeren.

Reacties (84)

Persoonlijk vind ik het erger dat bijvoorbeeld Facebook "aanbiedt" de contacten uit je telefoon te synchroniseren onder mom dat je elkaar dan makkelijker kan vinden, terwijl jouw contacten helemaal geen toestemming hebben gegeven om hun gegevens met Facebook te delen.

Dat het gedrag van Twitter niet oké is, staat buiten kijf, maar ergens valt te verwachten dat ze meer met je data doen dan alleen voor mfa gebruik en daar kies je zelf voor.

Eens, maar bij dit misbruik is de consequentie in potentie wel meer storend.
In de VS is colportage van allerlei partijen via de mobiele telefoon al meer voorkomend dan hier. Dit kan zeer storend zijn.
Op mijn vaste telefoon heb ik een call blocker die telefoonnummers bij wie het nummer is afgeschermd blokkeert. Op mijn smartphone zou ik niet weten of en hoe dat kan.

Vroeger toen ik Android gebruikte had mijn One PLus 5 een handige optie, die helaas mijn huidige iPhone (en geen enkel iOS apparaat) heeft.

De OnePlus had onder CALL settings de optie, dat als je gebeld werd met een anonieme nummer zonder Caller ID, om die telefoon te blokkeren en mijn toestel te gedragen alsof het uitstaat. Hierdoor ging bij de bellende partij géén ringtoon over, maar kreeg de bellende persoon of instantie direct de toon " TUUU TOOO TAAA, Dit nummer is niet in gebruik." De handigheid hiervan was, dat een eventuele ziekenhuis wist, okey dan bellen we maar vanuit onze normals vaste lijn waarvan de Caller ID NIET anoniem is voor dringende gevallen en kwam het gesprek alsnog meteen door.

iOS heeft vanwege juridische consequenties, na lang wikken en wegen, besloten niet zulke oplossing te bieden. Dat is jammer want hun implementatie waarbij all "onbekende nummers" lukraak met of zonder nummer herkenning de ringtoon uitgezet worden, krijgen aan de andere kant de feedback dat de telefoon aan jouw kant weldegelijk overgaat, maar dat je gewoon niet opneemt.

Bovendien is er nog een nadee: als je niet door Hidden Caller ID's gebeld wilt worden en de functie aanzet, dan zal nooit meer een nieuwe klant met een getoonde-maar-onbekende-nieuwe nummer jou ooit kunnen bereiken!

Dit had makkelijk kunnen worden opgelost door deze éne optie te splitsen in twee opties:

Wat te doen bij No Caller ID (gebruikt door zowel overheidsinstanties als ook stalkers)? [Allow] [Block]
Wat te doen bij Nieuwe Zichtbare Telefoonnummers die niet in je telefoonboek staat? [Allow] [Block]


Kortom zeer ondoordacht en dit is dan ook de enige jammere van iOS.
Het is niet ver genoeg doordacht, zoals bij de OnePlus wel het geval was.
Een paar opties onder elkaar en je kon dit exact en precies instellen zoals jij het wilde zoals het voor jou situatie/bedrijf van toepassing was.

De handigheid hiervan was, dat een eventuele ziekenhuis wist, okey dan bellen we maar vanuit onze normals vaste lijn waarvan de Caller ID NIET anoniem is voor dringende gevallen en kwam het gesprek alsnog meteen door.

Hier verlies je mij. Waarom zou de gemiddelde doktor, assistent of andere niet diep technisch bekwame persoon die bij een ziekhuis werkt, ooit nogmaals dat nummer bellen als zij net te horen hebben gekregen dat het nummer niet in gebruik is?
Lijkt mij dat ze dat dan wegstrepen en kijken naar een alternatieve contact methode.

Dat ja, je krijgt hooguit dat ze je correcte nummer schrappen uit de gegevens en je een brief sturen of je even terug wilt bellen voor je spoedgeval...

Goed punt. Trouwens ik denk dat het anders was bij Android / Oneplus, de feedback was duidelijk niet in de trant van nummer onbekend maar duidelijk in de richting van "Het toestel staat uit of accepteert geen telefoontjes van verborgen Caller ID" waardoor ik heb onthouden dat de feedback treffend was en de juiste aanwijzing gaf zo van, bel even vanuit een ander toestel dat geen verborgen Caller ID heeft.

Uiteraard is het de verkeerde signaal om te horen "Dit nummer bestaat niet" Mijn fout. Het is een ingewikkeld iets wat simpeler kan.

Hoe gaan jullie om met bellers met Verborgen Caller ID? Stel dat je géén Verborgen Caller ID wilt opnemen, maar wel door Eerlijke Getoonde Onbekende Nummers gebeld wilt kunnen worden. Dit kon altijd op een Android worden ingesteld, maar het lijkt onmogelijk op een iPhone anno 2022.

[Reactie gewijzigd door SambalSamurai op 29 mei 2022 23:49]

Vroeger toen ik Android gebruikte had mijn One PLus 5 een handige optie, die helaas mijn huidige iPhone (en geen enkel iOS apparaat) heeft.

De OnePlus had onder CALL settings de optie, dat als je gebeld werd met een anonieme nummer zonder Caller ID, om die telefoon te blokkeren en mijn toestel te gedragen alsof het uitstaat. Hierdoor ging bij de bellende partij géén ringtoon over, maar kreeg de bellende persoon of instantie direct de toon " TUUU TOOO TAAA, Dit nummer is niet in gebruik." De handigheid hiervan was, dat een eventuele ziekenhuis wist, okey dan bellen we maar vanuit onze normals vaste lijn waarvan de Caller ID NIET anoniem is voor dringende gevallen en kwam het gesprek alsnog meteen door.

Die functie had mijn HP Pre 3 met webOS ook. Mis hem ook nog steeds op elk toestel (met verschillende OS'en) dat ik sindsdien heb gehad.

Op m'n OnePlus 3 kon ik gesprekken terugluisteren.
Dit kan (mag?) niet meer op mijn nieuwe telefoon...

Je moet 'm dan tegenwoordig rooten, voor zo ver ik weet.

Handig, aangezien overheidsinstanties ook vaak anoniem bellen.

Vind ik zeer storend, ik ken ook een ziekenhuis die dit doet

Rijnstate in Arnhem doet precies dat.

Aan de andere kant, oplichters of spammers bellen mij nooit anoniem. Dus een anonieme beller is dus altijd het Rijnstate ziekenhuis.

Kwalijke zaak, elk ziekenhuis zou gewoon met het algemene nummer moeten uitbellen. Voicemail : anoniem - die luister ik niet af.

Voicemail zichtbaar nummer wat ik niet ken komt al sneller op afluisteren of nummer opzoeken.

Klopt. Wat heel makkelijk verholpen zou kunnen worden door een algemeen nummer te laten zien.

Op die manier kun je veel beter nummers blokkeren.

There’s an app for that.

bvb: https://www.lifewire.com/...p-for-smartphones-4050085

Op een iPhone kan je onbekende nummers automatisch negeren: instellingen -> telefoon -> Houd onbekende bellers stil.

Ik durf niet te zeggen of onbekende nummers alleen anonieme nummers zijn, of nummers die niet in je contacten staan of niet eerder contact mee hebt gehad

Onbekende nummers is wat anders dan afgeschermde nummers. Ik wil graag dat afgeschermde nummers geblokkeerd worden en niet de garage die (met een voor mij onbekend nummer) belt om te zeggen dat de auto klaar is. Helaas is dat op een iPhone (zonder extra apps) niet mogelijk.

Dit. Ik heb ook niet iedere collega in mijn telefoon staan ofzo, maar wil wel graag bereikbaar kunnen zijn voor ze.

Anonieme bellers kunnen wat mij betreft de pot op.

Nee, liever niet, stuur maar een email/chat naar m'n werkaccount, kan ik d'r tijdens kantoortijd even rustig naar gaan kijken

Precies. Helaas niet mogelijk en ook na vele vele (betaalde) apps te hebben geprobeerd heb ik het opgegeven, geen enkele heeft bij mij gewerkt voor wat ik wou, namelijk afgeschermde nummers blokkeren en onbekende nummers door laten komen.

Op mijn vaste telefoon heb ik een call blocker die telefoonnummers bij wie het nummer is afgeschermd blokkeert. Op mijn smartphone zou ik niet weten of en hoe dat kan.

Bij de meeste Android toestellen kan iets als dit. Bij mij werkt het sowieso op LineageOS.

Het probleem is dat je daar juist niet voor kiest.
Het excuus is 2fa, over gebruik voor advertenties is juist niet gesproken.

Kun je dat zelf verzinnen?
Als je een beetje digitech georienteerd bent wel, maar anders wordt het al moeilijk, mijn familie snapt er geen jota van bijvoorbeeld, en moet ik echt overtuigen van het feit dat het consequenties heeft als je zo'n partij vertrouwt met je data.

Ergens valt te verwachten dat ze de wet overtreden dus kies je er zelf voor? Druk je jezelf nou heel slecht uit of ben je echt zo'n corporate defender victim blamer???

Dat valt in de EU bijv. niet te verwachten omdat dat verboden is.

Dat het gedrag van Twitter niet oké is, staat buiten kijf, maar ergens valt te verwachten dat ze meer met je data doen dan alleen voor mfa gebruik en daar kies je zelf voor.

Aangezien de handelswet uit 2011 al expliciet een verbod voor bedrijven in de VS geeft om de persoonsgegevens misleidend te verkrijgen voor iets anders privacy en beveiliging kan je dus juist niet gaan stellen dat al die miljoenen klanten er voor kozen om zich te laten misleiden. Wetten zijn er namelijk om duidelijk te maken wat de verwachting is, niet om te stellen dat er dus een omgekeerde verwachting is en dat een mogelijk slachtoffer daar maar rekening mee moet houden als ze achteraf misleid blijken te zijn.

Als je punt is dat je er rekening mee kan houden dat wetten en regels overtreden kunnen worden dan is dat een dooddoener, anders was er geen handhaving met boetes nodig. Maar dat is wat anders dan die 140 miljoen klanten kiezen er voor om misleid te worden door hun eigen persoonsgegevens te verstrekken. Als bepaalde verwerking verboden is kies je er niet voor, of je je persoonsgegevens nu zelf verstrekt of dat een ander dat doet.

Ik vind FB nog wel een graadje erger idd. Ik begrijp niet dat zoveel mensen dat platform nog altijd gebruiken.

Ik snap niet dat bedrijven er voor kiezen slechts via Meta Whatsapp, Meta Facebook en eventueel Twitter bereikbaar te zijn. Wat is er mis met e-mail?

Maar dat is volledig offtopic hier.

Sorry, maar als je het je niet voor kunt stellen is dat volgens mij gewoon een gebrek aan inlevingsvermogen.

Waarom zouden bedrijven platforms waar 80+% van hun klanten op zitten niet gebruiken?

Bovendien is het voor de klant ook makkelijk/effectiever, als hij publiekelijk boos gaat doen reageren ze heel snel in een poging de schade te beperken. Per email (of nog ouderwetser, telefoon) kunnen ze makkelijker met kastje muur praktijken wegkomen.

9 van 10 keer als ik iets moet van een klantenservice contact ik ze via Whatsapp of Twitter, werk voor mij fijner dan mailen. (Sterker nog, dat is eigenlijk bijna het enige wat ik Twitter voor heb)

[Reactie gewijzigd door Alxndr op 26 mei 2022 10:39]

9 van 10 keer als ik iets moet van een klantenservice contact ik ze via Whatsapp of Twitter, werk voor mij fijner dan mailen. (

Dat is niet vanwege een technische reden, maar omdat bedrijven er bewust voor kiezen Whatsapp binnen een uur te beantwoorden en bij mail twee weken te wachten. Ik mis inderdaad het inlevingsvermogen om dat te begrijpen. E-mail is namelijk een communicatietechniek waar nog meer mensen gebruik van maken dan Twitter. Je geeft zelf ook al aan dat je Twitter alleen maar gebruikt om bedrijven te benaderen, dus dat bedrijven op Twitter zitten omdat hun klanten daar zitten is geen sterk argument.

[Reactie gewijzigd door 84hannes op 26 mei 2022 12:29]

Ik denk dat afhankelijk van de situatie bedrijven altijd per email berijkbaar zijn, het emailadres wordt alleen niet zomaar vrijgegeven vanwege spam, iets wat volgens mij met social media makkelijker mee om te gaan is.

De behandeltijd van email is, afgezien van capaciteit, een kip en het ei verhaal. Social media zijn sneller omdat ze prioriteit krijgen omdat het voor de hele wereld zichtbaar is, dus emailtjes kunnen wel ff wachten. Direct gevolg daarvan is dat meer mensen naar social media gaan en mensen die dat niet doen tientallen herhaal/herinnerings mailtjes gaan sturen waardoor het systeem nog verder vast loopt (geloof mij, been there seen that)

Met hoeveel mensen er wel of niet op twitter zitten, je ziet zelf hoevaak twitter als "de stem van het volk" wordt aangehaald in de media. Als bedrijf wordt je gedwongen om een twitter account te hebben, want als je niet efficient met al die hardroepers daar omgaat, kun je binnen de korste keren een groot probleem hebben. Kijk maar naar wat er de afgelopen jaren allemaal online gemobiliseerd is, terwijl dat ook relatief maar een erg kleine groep mensen was

Met hoeveel mensen er wel of niet op twitter zitten, je ziet zelf hoevaak twitter als "de stem van het volk" wordt aangehaald in de media.

Klopt, terwijl er nauwelijks natuurlijke personen op Twitter actief zijn, alleen maar journalisten, stemmingmakerij en heel veel bedrijven.

Social media zijn sneller omdat ze prioriteit krijgen omdat het voor de hele wereld zichtbaar is,

Ik noem heel bewust Whatsapp.

Whatsapp leent zich toch juist perfect voor interactie met bedrijven?

Afgezien van het taalgebruik (welk bedrijf spreekt zijn klanten nog met "u" en meneer/vrouw aan?) is het opstellen/schrijven van een email meer als een brief. En laten we wel wezen, schrijven is net als rekenen, een steeds groter deel van de bevolking heeft daar (grote) moeite mee.

Ik heb toevallig gister nog via whatsapp contact gehad met Movistar omdat mn glasvezel er uit lag, dat ging nog sneller dan twitter (probeerde ik tegelijkertijd) en ik moet er niet aan denken dat ik dat per email had moeten doen, hoevaak moet je heen en weer voordat je de hele uitvraag prodecure door bent? Zeker omdat ik met whatsapp gewoon een filmpje en fotos kan sturen van lampjes die knipperen en met licht gebruik van emoticons de stemming vrolijk houdt, is het voor mij de nummer 1 manier van communiceren met bedrijven. Goh - ben ik toch eens een keer niet een oude zuurpruim

Ik zeg tegen m'n moeder altijd, als je NU een antwoord wil moet je bellen, als het zsm moet zijn SMS, als het een uur of wat mag duren hebben we whatsapp of telegram waar ik wel op reageer als ik het me uitkomt en m'n prive email? Laagste prio, dat komt aan het einde van de dag rond middernacht wel, dan hebt je je antwoord als je 's ochtends wakker wordt.

Whatsapp leent zich toch juist perfect voor interactie met bedrijven?

Dat is niet waar ik op reageerde.

Bovendien is het voor de klant ook makkelijk/effectiever, als hij publiekelijk boos gaat doen reageren ze heel snel in een poging de schade te beperken.

Dit is op FB, twitter etc net zo makkelijk te negeren, weet ik uit ervaring. De optie om te reageren uitzetten is ook een optie op FB. Liefst 'kanaliseren' ze individuele reacties naar de Facebook chat. Wat je dan weer niet op je telefoon kunt gebruiken zonder een FB app te installeren (nee, dank u feestelijk).

Per email (of nog ouderwetser, telefoon) kunnen ze makkelijker met kastje muur praktijken wegkomen.

Als ze echt willen, kan dat hoe dan ook. Telefoon heeft als groot voordeel dat, als je eenmaal iemand aan de lijn hebt die welwillend is, je meteen ook vervolgvragen kunt stellen en nog wel eens een tip krijgt die medewerkers juist niet online durven zetten.

Maar inferieur is wat Facebook doet niet anders dan dat iemand mij het adres van iemand anders vraagt zonder dat die ander dat weet. En dat gebeurt toch ook al sinds mensenheugenis.

Exact, dit is overigens de reden waarom ik vele jaren terug mijn LinkedIn quasi vlak na creatie weer afgesloten heb. Blijkbaar had ik bij registratie stilzwijgend toestemming gegeven aan LinkedIn om (vanuit mijn naam) de contactpersonen in mijn mailbox te benaderen. Dat was toen nog voor heel het GDPR gebeuren en daar is nooit wat tegen ondernomen bij mijn weten? Ik vond het waanzinnig dat dat zomaar kon en dat het een opt-out systeem mocht zijn ipv expliciete opt-in.

[Reactie gewijzigd door helonaut op 26 mei 2022 10:37]

Klopt helemaal wat je zegt, maar heb jij expliciet tegen iedereen die jouw gegevens in zijn/haar telefoon heeft staan gezegd welke informatie ze wel of niet mogen opslaan? Want die individuen doen dan natuurlijk precies hetzelfde (zij het met een andere intentie). Ik weet ook zeker dat Google ook mijn data her en der heeft staan, terwijl ik geen Google-producten gebruik, maar heel veel van mijn kennissen wel Android gebruiken en ik dus in hun adresboeken sta.

Ik had het volgens mij ook met Signal of Telegram. Ik kreeg ineens een melding "Pietje gebruikt nu ook Telegram!" (of Signal).

Bovenstaande bedoel ik zeker niet als 'ze doen het allemaal dus het is allemaal oké'. Het is in de basis helemaal niet oké dat het überhaupt gebeurd. Het is meer dat je er niet aan ontkomt dat het gebeurd en dat komt door de openheid van Android/iOS.

De enige manier om te helpen voorkomen is denk ik een soort mechanisme dat je contactenlijst niet breed uitleesbaar wordt voor apps, maar alleen de contacten ziet die vanaf twee kanten het 'Whatsapp-vlaggetje' (of e-mail-vlaggetje, spelletje-XYZ-vlaggetje, navigatietool-vlaggetje) hebben. Dus dat je WA-account los staat van je telefoonnummer (ofwel een 'lokaal account' heeft bij WA) en dat je individuele contacten in WA optioneel die koppeling naar dat ene item in je contactenlijst hebben.
Die koppeling kan handig zijn om één centraal punt te hebben om vanaf daar in contact te komen met de betreffende persoon en dat je vanaf daar kiest of je dat met WA, per e-mail, sms, wat dan ook.

Die oplossing moet dus in de eerste plaats vanaf Google en Apple komen (en de rest kan dan volgen).Het potentiële nadeel hier van is, is dat je moeizaam andere 'contacten-apps' zal kunnen gaan gebruiken, want dan moeten Whatsapp, e-mail-app, navigatie-app ineens a die andere apps ook gaan ondersteunen of het via een één of andere API binnen het OS gaan doen.

Klopt helemaal wat je zegt, maar heb jij expliciet tegen iedereen die jouw gegevens in zijn/haar telefoon heeft staan gezegd welke informatie ze wel of niet mogen opslaan? Want die individuen doen dan natuurlijk precies hetzelfde (zij het met een andere intentie).

Het is geen goede vergelijking want de wet maakt nadrukkelijk verschil tussen bedrijven en personen. Als individu mag je dit soort informatie gewoon gebruiken voor "gewone mensen dingen".

Ik had het volgens mij ook met Signal of Telegram. Ik kreeg ineens een melding "Pietje gebruikt nu ook Telegram!" (of Signal).

Signal is bijzonder en heeft een slim systeem bedacht om dit te doen zonder informatie te lekken. Al het werk wordt op je eigen telefoon gedaan, niet op de servers van Signal. Nou blijft het in theorie mogelijk dat de Signal app op jouw telefoon die informatie alsnog doorstuurt maar als je je daar zorgen over maakt dan kom je in een heel andere catgeorie van problemen terecht en valt tenminste 90% van de IM-apps af en zeker alles dat closed source is. Signal zit wat dat betreft op het randje.

Die koppeling kan handig zijn om één centraal punt te hebben om vanaf daar in contact te komen met de betreffende persoon en dat je vanaf daar kiest of je dat met WA, per e-mail, sms, wat dan ook.

Het is niet helemaal wat je omschrijft maar kijk eens naar Keybase, dat kun je hier voor gebruiken.

Die oplossing moet dus in de eerste plaats vanaf Google en Apple komen

Ik zou niet op gaan wachten Google, die gaan hun eigen zaakjes niet ondermijnen. Kijk maar eens hoe ze om gaan met cookies een google analytics. Vernieuwing uit die hoek komt er typisch op neer dat Google een andere manier heeft gevonden om hetzelfde te bereiken en ze nu de oude methode de nek om draaien om concurrenten dwars te zitten.

(en de rest kan dan volgen).Het potentiële nadeel hier van is, is dat je moeizaam andere 'contacten-apps' zal kunnen gaan gebruiken, want dan moeten Whatsapp, e-mail-app, navigatie-app ineens a die andere apps ook gaan ondersteunen of het via een één of andere API binnen het OS gaan doen.

Ik weet niet of ik je goed begrijp want volgens mij is er al een API om met je contactlijst te praten. Misschien dat er nog wat features moeten worden toegevoegd maar mijn beleving is dat je contactenlijst nu al vervangbaar is en er (dus) een API tussen zit.

Als het er om gaat dat je verschillende identiteiten moet matchen ("gebruiker123 = [e-mail] = [e-mail] = blabla@twitter = tel 06123" ) dan komt Keybase dat ik eerder noemde om de hoek kijken. Daar leg je zelf vast wat welke accounts bij jouw persoon horen. Zo kun je met elkaar communiceren over de grenzen van bestaande platforms heen. Een bijzonder feature is dat de andere gebruiker zich nog niet heeft aangemeld.

Oh je bedoelt de praktijk die door Google is begonnen en het breedst wordt bedreven met Google contacts? Google heeft intussen -als het niet direct verkregen is, dan dus wel indirect- alle telefoonnummers van alle mensen ter wereld wel in hun database. Of die mensen nu zelf Google gebruiken of niet.

Probleem is hier dat niet Facebook, maar de gebruiker fout is. De gebruiker mag jou gegevens niet delen, Facebook mag er wel om vragen.

Op die manier is LinkedIn ook groot geworden. Ik heb ze er in hun begintijd op gewezen en ben toen op hun blacklist gezet. Vervolgens zijn ze er gewoon mee doorgegaan. Een paar jaar terug ontving mijn minderjarige dochter gewoon nog spam mails van ze op haar e-mail adres omdat ze in de contacten van een LinkedIn gebruiker staat. Inmiddels is LinkedIn niet meer bereikbaar zonder account, dus voor mij onbereikbaar. Helaas heb ik het al een paar keer bij de AP gemeld, maar die reageren nergens op.

En zo werkt al het andere van de platformen er gretig op los. Voer nu je GSM in voor 2 staps authenticatie om vervolgens deel te nemen aan en in lijsten en zelfs doorverkocht te worden.

Ook facebook doet het. Koppelt je 06 op Whatsapp, IG en alle andere diensten om je zo helder mogelijk te profileren, onder het mom van 2 staps authenticatie.

Heb je daar bronnen voor?

https://www.theguardian.c...sers-safety-phone-numbers

Ik moest er destijds enorm om lachen omdat ik gevraagd werd om mijn telefoonnummer. Toen vertrouwde ik Facebook al niet en gaf ook niks om mijn Facebook account, en een tijd later kwam naar boven dat het nummer dat ooit onder het mom van account veiligheid gebruikt werd om mensen te koppelen aan profielen en advertenties. Vervolgens mijn Facebook account verwijderd en nooit meer naar om gekeken. Dit vond ik echt een serieuze offender.

[Reactie gewijzigd door Robe90 op 26 mei 2022 10:19]

Dank.

Heel vroeger kreeg ik contacten uit whatsapp ineens aangeboden als mensen die ik Mischien ken. Gebruik al langere tijd geen fb of Twitter meer, mis niks.

en zelfs doorverkocht te worden.

Dat Facebook, Google, enz, enz, enz. zoveel mogelijk data van iedere gebruiker (en niet-gebruiker) aggregeert om te profileren om 'gepersonaliseerde advertenties' te verkopen klopt (volgens mij) helemaal. Dat is ten slotte hun businessmodel. (even los van wat we daar van vinden)

Maar waarom zouden ze de door hen vergaarde data doorverkopen aan potentiële concurrenten?


Ik zeg dus nadrukkelijk niet dat ze de 2FA-data niet gebruiken voor profilering. Het gaat me puur om het doorverkopen.

Overigens. Stel dat jij helemaal niks doet met Meta-producten staat jouw telefoonnummer natuurlijk alsnog in hun databases. WhatsApp heeft tenslotte toegang tot 'vrijwel iedereen' (aangezien een ruim deel van de Nederlanders WA gebruikt) z'n contactenlijst, waar we me met onze voor- en achternaam in staan. Daar heeft Meta niet onze 2FA-data voor nodig als je ze echt kwaad willen.

Even in perspectief:

"van 140 miljoen gebruikers de telefoonnummers onrechtmatig gebruikt"

"Twitter gaat een boete van 150 miljoen dollar betalen"

Dus net iets meer dan 1 dollar per persoon.
Ik heb geen bron, maar ik denk dat we er wel vanuit mogen gaan dat ze er (heel) veel meer aan verdient hebben.
En het was niet een 'ongelukje' of zo, maar gewoon een bewuste actie/keuze.

Dus mijn inziens goed dat ze er voor afgestraft worden, maar de straf had wat mij betreft wel flink hoger mogen zijn.

Rest nog de vraag, heeft Twitter dit ook in Nederland / andere delen van de wereld gedaan? (lijkt mij aannemelijk van wel)
Zijn daar dan nog andere rechtzaken die nog lopen/gaan starten?

Dus mijn inziens goed dat ze er voor afgestraft worden, maar de straf had wat mij betreft wel flink hoger mogen zijn.

Als ik het artikel op teletekst mag geloven is dit geen straf, maar een manier om verdere gerechtelijke vervolging af te kopen. Want dat is volgens dat artikel uitgesloten na het betalen van deze boete.

Het zou mij niet verbazen als ze dit destijds al in hun business plan hebben verrekend.
Ze wisten precies waarmee ze bezig zijn (wet overtreden) en na alle winsten mogelijk ook dergelijke boete als kostenpost ingecalculeerd waardoor het nog steeds een lucratieve businesmodel werd?

Zoniet, dan zal dit nooit meer in de geschiedenis van Twitter kunnen voorkomen.
Zoja, dan kan het best dat er over een paar jaar precies eenzelfde (afkopings)schikking komt.

Gemiddeld 1 dollar per gebruiker is echt heel veel. Bij dit soort reclame acties is de conversie niet heel erg hoog. Als je een paar procent haalt is het al veel.

Je geeft geen sterke onderbouwing bij de bewering dat 1 dollar per gebruiker veel is. Het punt is namelijk niet wat er per inividuele direct uit te halen valt maar wat de totale waarde is voor al de bedrijven die er gebruik van maakten voor het behalen van winstdoelen of welk voordeel dan ook. Bedrijven en management doet hier niet slechts aan omdat het per individueel slachtoffer zo weinig waarde heeft, het heeft dus eerder veel grotere waarden dan een bagatelliserend antwoord over conversie. Het is daarom ook belangrijk om welke redenen het verkocht en ingekocht is.

Bij dit soort advertenties blijft de data bij Twitter er is dus geen data verkocht of ingekocht. Een bedrijf levert een lijst met telefoonnummers aan (bijvoorbeeld alle publiekelijk opvraagbare nummers van Houston, voor de promotie van een nieuw Hamburger restaurant) en zegt, als jullie een match hebben dan graag onze advertentie tonen.

Dat toont des te meer aan dat het veelvuldig de service kunnen aanbieden en afnemen waarschijnlijk veel meer waarde heeft gehad dan die gemiddelde 1 dollar per persoon als vergoeding.

Men vergeleek de data van de adverteerders tegen de eigen gegevens die men had van 150 Miljoen leden, hoeveel van die leden hierdoor uiteindelijk targeted add's kregen te zien die ze anders niet hadden gezien is niet bekend. We weten dus niet hoeveel mensen als benadeelde gezien dienen te worden. (benadeelde ben je in mijn ogen als je echt een target werd, en niet als je gegevens werden vergeleken maar geen extra hits opleverden.

Alleen het aanbieden al lijkt verboden. Dan is men dus daardoor al een benadeelde. Slechts 1 euro boete per betrokken klant betalen, terwijl dan nog niet eens meegerekend is wat het aanbieden en verkopen vervolgens al opleverde klinkt dan op zijn minst al erg laag om er als twitter mee weg te komen.

Dat is ook verboden, maar hoeveel winst er daadwerkelijk hierdoor is gemaakt daar hebben wij natuurlijk geen idee van. En echt last had je er als gebruiker niet van het enige wat je ervan kon merken was dat je i.p.v advertentie A nu advertentie B zag.

Als je hier al bijvoorbeeld 2 Miljard boete voor zou neerleggen, wat moet je dan wel niet vragen als iemand zulke gegevens verkoopt? Het moet allemaal wel in verhouding staan tot elkaar vindt ik.

140 miljoen klanten stuk voor stuk wettelijk benadelen en dan weg komen met 1 dollar boete per overtreding klinkt niet als in verhouding staan. Ongeacht of ze verlies geleden hebben met het overtreden. Kennelijk hoeft een bedrijf bij jaren lang overtreden per klant niet echt op een boete te rekenen waarbij het duidelijk is dat het overtreden meer kost dan die dollar. Wat is dan het volgende? 1 klanten het recht niet gunnen en dan weg komen met 1 dollar boete? Want dat lijkt de verhouding.

Wat voor boete zou jij dan willen geven voor dit?

2FA kan ook met een Google authenticator app. SMS based 2FA is inderdaad soms een honey pot.

- Google Authenticator
- Microsoft Authenticator
- Authy
- FreeOTP
- .. elke applicatie die TOTP 2FA ondersteund

SMS gebruiken als 2FA is al jaren als zeer onveilig bestempeld.

vertel je met dit soort apps niet welke sites je allemaal bezoekt

Dat doe je. Het is daarom geen slecht idee een open source 2FA authenticator te gebruiken. Enkele worden al genoemd door @elmuerte .

Ik zou Aegis https://github.com/beemdevelopment/Aegis aan die lijst willen toevoegen. Open source, werkt vlekkeloos, goede interface.

[Reactie gewijzigd door alex2b op 26 mei 2022 09:24]

Ja, maar niet op sessie niveau. Je maakt de koppeling per site. De app weet imniet per se wanneer je welke code gebruikt. Alleen de copy/paste functionaliteit kan dig weggeven, als je die gebruikt.

Niet per se. Er is geen actieve koppeling met het TOTP-protocol. (Timebased One Time Password). Technisch gezien is het niks meer dan een Shared Secret. De app hoeft niet online te zijn. De code kan gewoon overgeschreven worden naar een ander apparaat.

De werking is alsvolgt:

(( Disclaimer. Onderstaande is versimpeld. De werkelijke wiskundige handelingen zijn iets complexer, maar het dekt wel de lading ))
De site en TOTP-app hebben beide dezelfde 'geheime sleutel'. Laten we zeggen "1234567890". Die kan eventueel via een QR-code worden overgeheveld (dit is het meestgebruikt en bevat vaak ook extra data als website/app/bedrijf), of via een code die je overtypt/kopieer-plakt.

Vervolgens wordt er een wiskundige actie losgelaten op die sleutel in combinatie met 'de huidige tijd'
Op het moment van schrijven was het "1653559080" (de epoch). We ronden die 30 seconden naar beneden en naar boven af, zodat we twee (of drie) valide epochs hebben. (Dit doen we omdat we niet 100% zeker kunnen zijn dat alle apparaten altijd de exacte tijd hebben, en het heel erg gebruiksonvriendelijk is, als je 3 seconden afwijkt dat het dan niet werkt, of dat het opsturen/verwerken net wat langer duurt dan verwacht)

Dus dan doen we 1653559080 * 1234567890 = 2041430944385941200. (En dan ook met de naar boven en naar beneden afgeronde epochs). Dit zijn de unieke sleutel van daarnet, 'nu' en straks. Dan doen we wat trucjes om er 6 unieke cijfers van te maken. Dit is je 'tijdelijke unieke sleutel'.

Dit doet je TOTP-app continue zolang het op beeld moet worden weergegeven, en de de serverkant doet dat tijdens het inloggen 'on the fly'. De twee 6-cijferige codes worden vergeleken en klaar.


De enige manier dat jouw TOTP-app kan weten 'wanneer jij inlogt' en waar, is als jij die data zelf hebt gegeven. Goede kans dat als je TOTP bij Tweakers gebruikt, dan jij die code dan 'Tweakers' hebt genoemd. En de kans dat jij die code kopieert/bekijkt wanneer jij inlogt is natuurlijk behoorlijk groot.

As jij die code echter handmatig in je app hebt gezet met de alias "Flipper de dolfijn" en de app altijd meerdere codes gelijktijdig kan laten zien en je hem altijd even onthoud en overtypt, kan de app dus onmogelijk weten waar die code voor was en wanneer die gebruikt werd.


N.B. Hier zie je dus ook aan, dat het slechts een tweede wachtwoord is, dat nooit 'over de lijn' gaat. Alleen een soort hash gaat over de lijn. De server bepaalt of hij de code accepteert of überhaupt vereist. Zie ook dat bijvoorbeeld menig website 'dit apparaat vertrouwen' heeft, waardoor er met een soort cookie/sessie wordt opgeslagen dat je geen 2FA meer hoeft te doen voor 'dit apparaat'.

dankje voor de uitleg.

1 ding wat alleen niet rijmt in mijn gedachte

De site en TOTP-app hebben beide dezelfde 'geheime sleutel'. Laten we zeggen "1234567890". Die kan eventueel via een QR-code worden overgeheveld (dit is het meestgebruikt en bevat vaak ook extra data als website/app/bedrijf),

As jij die code echter handmatig in je app hebt gezet met de alias "Flipper de dolfijn" en de app altijd meerdere codes gelijktijdig kan laten zien en je hem altijd even onthoud en overtypt, kan de app dus onmogelijk weten waar die code voor was en wanneer die gebruikt werd.

De app weet dus wel over welke site het gaat, Dus een opensource applicatie kiezen is dus voor je privacy veel beter want je weet niet wat Google nog meer met die extra data doet.

Een QR-code is in principe gewoon een stuk tekst dat als een ‘plaatje’ wordt weergegeven.

De app kan dus zelf bepalen of hij het moet interpreteren, of het als tekst niet lezen.


Dus je hebt gelijk dat als je het doet met een QR-code, en dat de app specifieke sites/applicaties/namen herkent, als zijnde die specifieke dienst, dan zou die proberen te kunnen volgen, wanneer jij die code bekijkt of kopieert. (En dan dus een veilige aanname kan maken dat jij wil inloggen op een apparaat dat jij niet als ‘veilig’ hebt beschouwd.)

De app zou het dus in theorie kunnen.
Ik denk echter, dat als je je daar zorgen over maakt, dat je dan beter een apparaat zonder internetverbinding kan gebruiken voor je TOTP.
Open Source is een fantastisch concept, waar ik ook helemaal achter sta, maar het is niet de heilige graal. Dat heeft de geschiedenis meermaals laten zien.

Je kan beter kijken naar welk bedrijf jij ‘vertrouwd’ met je data, en accepteren dat zij doen wat zij zeggen te doen, desnoods met audits van derde partijen die de code hebben gevalideerd.

Ik denk dat je de term honeypot niet goed begrijpt. ;]

150 Miljoen ... dat zetten ze om in minder dan een maand als het geen week is

Omzet is geen winst, en de boete gaat van de winst af en niet van de omzet.

150 miljoen boete voor de gegevens van 140 miljoen gebruikers, dit is toch een lachertje!
Het doorverkopen van deze gegevens alleen heeft ze waarschijnlijk al veel meer opgeleverd.

Het is te schandalig voor woorden dat er over de privacy van mensen alleen maar aan geld gedacht wordt door aandeelhouders.

Hoe ik zo’n meeting voor mij zie:
We kunnen 500 mil inkomsten krijgen door data verkoop van gebruikers, misschien krijgen we dan wel 100-200 miljoen boete… aandeelhouders: Prima jongens, goed idee en voer maar uit want 300 miljoen winst!

[Reactie gewijzigd door Cowamundo op 26 mei 2022 09:24]

Precies dat. En ipv dat ze consequent strafrechterlijk vervolgd worden, wat anderen misschien in de toekomst zou kunnen afschrikken, krijgen ze waarschijnlijk een bonus!

De gegevens zijn niet doorverkocht.

Ik ben er ook 100% van overtuigd dat Twitter dat nummer gebruikt om volgvoorstellen te doen. Terwijl het alleen bedoeld is als 2fa

De boete moet natuurlijk hoger zijn dan de opbrengsten. Anders gaat het gewoon verder en is de boete er enkel om een overheid rechtvaardig en handhavend te laten overkomen.
Overheidsboetes worden normaal gesproken gewoon toegevoegd aan de algemene inkomsten, zonder dat daar een specifieke besteding in relatie tot de boetegrond tegenover staat en vormen een speeltje voor de politiek, zoals voor dekking voor allerlei begrotingstekorten.
De praktijken van omdernemingen worden eigenlijk ondersteund door het boetesysteem. Het vereist een aanpassing van de grondbeginselen waarop dat systeem rust, wil je dit soort praktijken tot een uitzondering terugbrengen.

Wat zal musk hier van vinden?

150 miljoen dollar boete voor 140 miljoen e-mailadressen+telefoonnummers? Een euro per benadeelde, een koopje!