Android-gebruikers jarenlang bespioneerd: zelfs incognitomodus bood geen bescherming

Android-gebruikers die apps als Facebook, Instagram of bepaalde Yandex-apps op hun telefoon hebben staan, zijn jarenlang op grote schaal en zonder hun medeweten gevolgd. Nieuw onderzoek toont aan dat deze apps via een technische achterdeur in het Android-besturingssysteem gegevens konden verzamelen over het online gedrag van gebruikers – zelfs wanneer die in incognitomodus op het web surften of gebruikmaakten van andere apps.

Deze privacyschending is bijzonder ernstig: gebruikers wisten van niets, gaven geen toestemming, en kregen ook geen melding van deze datastromen. De verzamelde informatie – bijvoorbeeld welke websites iemand bezocht, wat hij daar deed, en welke zoekopdrachten hij invoerde – werd direct gekoppeld aan persoonlijke gegevens zoals naam, e-mailadres en inloggegevens. Hierdoor konden bedrijven als Meta en Yandex een zeer gedetailleerd profiel opbouwen van individuele gebruikers, ook buiten hun eigen apps om.

De technische truc maakte gebruik van een zogenoemd ‘intern communicatiekanaal’, oorspronkelijk bedoeld voor gebruik binnen een app zelf. Slimme code op miljoenen websites stuurde via dit kanaal gegevens terug naar de app op de telefoon, waar die zonder tussenkomst van de gebruiker werden onderschept. Meta maakte hierbij gebruik van technieken als WebRTC – bedoeld voor internetbellen – terwijl Yandex zijn eigen AppMetrica-platform gebruikte om informatie te verzamelen en te koppelen aan het unieke ID van elk toestel.

Wat deze praktijken extra verontrustend maakt, is dat veel websites en ontwikkelaars onbewust meewerkten aan deze dataverzameling. Bekende trackingpixels en advertentienetwerken werden misbruikt als transportmiddel voor de data, zonder dat webbouwers of beheerders daarvan op de hoogte waren. Sommige Yandex-apps wachtten bovendien bewust enkele dagen na installatie voordat ze begonnen met het verzamelen van gegevens, vermoedelijk om detectie te voorkomen.

Uit het onderzoek blijkt dat wereldwijd meer dan 8 miljoen websites zijn besmet met deze trackingtechniek. In Nederland, waar Facebook en Instagram bijzonder populair zijn, gaat het mogelijk om miljoenen getroffen gebruikers. Meta begon met deze werkwijze in september 2024, terwijl Yandex al sinds 2017 vergelijkbare methoden toepast.

Na deze onthullingen is de druk op browserbouwers en het Android-ecosysteem toegenomen. Google werkt aan updates voor Android en Chrome om deze verborgen datakanalen af te sluiten. Ook alternatieve browsers zoals DuckDuckGo hebben hun beveiliging inmiddels aangescherpt. Toch blijft het risico bestaan zolang apps op Android in staat zijn om zonder toezicht onderling informatie uit te wisselen.

De onderzoekers roepen op tot strengere regels voor apps in downloadwinkels, meer transparantie over trackingmethoden, en betere bescherming van gebruikersrechten. Tot die tijd is de meest effectieve manier om je privacy te waarborgen: verwijder apps als Facebook, Instagram en Yandex van je toestel, of beperk ten minste hun machtigingen drastisch. Wees terughoudend met welke rechten je apps geeft en kies voor browsers die actief bescherming bieden tegen verborgen dataverzameling.

Zoals onderzoeker Gunes Acar het samenvat: “Wat je doet op het internet, zelfs buiten sociale media om, werd in stilte doorgegeven aan de apps die je vertrouwde. Zelfs wanneer je dacht dat je privé bezig was.”

Door: Drifter