Jouw online reviews helpen cybercriminelen om je vrienden te vinden

In dit artikel:

Online recensies kunnen meer onthullen dan gebruikers beseffen. Onderzoekers van de University of Texas ontdekten dat cybercriminelen uit het online gedrag op reviewplatforms sociale relaties kunnen afleiden, ook wanneer daar geen openbare vriendenlijst bestaat. Die informatie kan worden gebruikt voor spear phishing: gerichte fraude waarbij een aanvaller zich voordoet als een bekende om geld, wachtwoorden of bankgegevens te stelen.

De onderzoekers analyseerden Yelp-gegevens van 4.299 gebruikers uit Louisiana en Pennsylvania uit 2020. Omdat zowel recensies als contactenlijsten beschikbaar waren, konden ze voorspellingen over vriendschappen vergelijken met de werkelijke relaties. Op basis van alleen recensies en ander online gedrag werd bijna de helft van de sociale connecties correct gevonden. Bij een foutmarge van 20 procent kon zelfs 63 procent van de bestaande relaties worden opgespoord.

Een belangrijke aanwijzing was de lengte van recensies. Vrienden kunnen vergelijkbare schrijfgewoonten ontwikkelen, zoals allebei uitgebreide beoordelingen plaatsen, of juist een patroon waarbij de een lang schrijft en de ander kort reageert. Zulke gedragskenmerken vormen volgens de onderzoekers een soort sociale vingerafdruk.

Voor cybercriminelen maakt deze aanpak gerichte aanvallen op vrienden van een slachtoffer mogelijk. Uit berekeningen met gegevens uit Pennsylvania bleek dat grootschalige phishingcampagnes financieel aantrekkelijk kunnen zijn: het geschatte rendement steeg van 109 procent bij 500 pogingen naar 1098 procent bij 10.000 pogingen.

De AVG voorkomt dit risico niet volledig, omdat sociale relaties ook indirect uit openbare gedragsgegevens kunnen worden afgeleid. De onderzoekers pleiten daarom voor extra privacymaatregelen. Platforms zouden bijvoorbeeld kleine, willekeurige variaties kunnen aanbrengen in recensieteksten, zoals de lengte, zonder de betekenis te veranderen. Simulaties laten zien dat zulke ‘ruis’ aanvallen minder rendabel kan maken. Volgens onderzoeker Yan Leng moeten platforms niet alleen beschermen wat gebruikers zelf delen, maar ook wat anderen daaruit kunnen concluderen.