LinkedIn onder vuur: grootschalige browser-scan en dataverzameling via verborgen scripts

Een nieuw rapport, bekend als “BrowserGate”, beschuldigt LinkedIn ervan op grote schaal gebruikers te volgen door hun browser actief te scannen. Volgens het rapport gebruikt het platform verborgen JavaScript-code om te controleren welke browserextensies bezoekers hebben geïnstalleerd en om uitgebreide informatie over hun apparaat te verzamelen.

De organisatie achter het rapport, Fairlinked e.V. (die zichzelf omschrijft als een belangenvereniging van zakelijke LinkedIn-gebruikers), stelt dat LinkedIn deze techniek inzet zonder expliciete toestemming van gebruikers. De verzamelde gegevens zouden vervolgens gekoppeld worden aan individuele profielen — en dus aan echte personen, inclusief hun werkgever en functie.

Detectie van duizenden browserextensies

Uit het onderzoek blijkt dat LinkedIn actief controleert op meer dan 6.000 browserextensies. Dit gebeurt via een bekende techniek waarbij scripts proberen toegang te krijgen tot specifieke bestanden die uniek zijn voor bepaalde extensies. Als zo’n bestand bereikbaar is, kan worden vastgesteld dat de extensie geïnstalleerd is.

Opvallend is dat dit aantal in korte tijd sterk is toegenomen:

• In 2025 lag het aantal rond de 2.000 extensies
• Later groeide dit naar ongeveer 3.000
• Inmiddels gaat het om meer dan 6.200 extensies

Fragment van de lijst met extensies waarnaar wordt gescand door het script van LinkedIn

Hoewel een deel van deze extensies direct verband houdt met LinkedIn-functionaliteit, richt de scan zich ook op:

• Tools van concurrenten (zoals sales- en leadgeneratieplatforms)
• Taal- en grammaticatools
• Software voor belastingprofessionals
• Overige, op het eerste gezicht niet-gerelateerde browserextensies

Informatie verzamelen over de apparaten van bezoekers

Mogelijke strategische toepassing van de data

Volgens het rapport gaat het niet alleen om beveiliging, maar ook om concurrentie-informatie. LinkedIn zou onder andere detecteren of gebruikers tools gebruiken die concurreren met eigen diensten.

Doordat LinkedIn weet:

• wie de gebruiker is
• bij welk bedrijf die werkt

zou het platform in theorie kunnen afleiden:

• welke bedrijven welke software gebruiken
• welke klanten bij concurrenten zitten

De beschuldiging is dat LinkedIn zo indirect toegang krijgt tot klantgegevens van andere softwarebedrijven — simpelweg via de browsers van hun gebruikers.

Daarnaast wordt gesteld dat LinkedIn deze informatie mogelijk gebruikt om:

• gebruikers van bepaalde tools te identificeren
• handhavingsmaatregelen te nemen tegen accounts die externe tools gebruiken

Extra verzamelde apparaatgegevens

Naast extensiedetectie verzamelt het script ook uitgebreide technische informatie over het apparaat en de browser, waaronder:

• Aantal CPU-cores
• Beschikbaar werkgeheugen
• Schermresolutie
• Tijdzone en taalinstellingen
• Batterijstatus
• Audio- en mediacapaciteiten
• Opslagmogelijkheden van de browser

Dergelijke gegevens kunnen samen een unieke “browser fingerprint” vormen, waarmee gebruikers zelfs zonder cookies gevolgd kunnen worden — ook over meerdere websites heen.

Bevestiging van technische werking

Onafhankelijke tests hebben bevestigd dat LinkedIn daadwerkelijk een script laadt (met een willekeurige bestandsnaam) dat deze controles uitvoert. De aanwezigheid van deze techniek staat dus niet ter discussie.

Wat niet volledig bevestigd kon worden, is:

• hoe LinkedIn de verzamelde gegevens precies gebruikt
• of deze informatie wordt gedeeld met derden

Reactie van LinkedIn

LinkedIn ontkent niet dat het browserextensies detecteert, maar stelt dat dit gebeurt om:

• de veiligheid van het platform te waarborgen
• misbruik en ongeautoriseerde scraping tegen te gaan

Volgens het bedrijf is het rapport afkomstig van een partij die zelf betrokken was bij het ontwikkelen van een browserextensie die in strijd zou zijn met de gebruiksvoorwaarden.

LinkedIn geeft aan dat:

• accounts zijn geblokkeerd vanwege overtredingen van de regels
• juridische stappen tegen deze maatregelen zijn afgewezen door een Duitse rechtbank

De rechter oordeelde onder meer dat:

• geautomatiseerde dataverzameling in strijd kan zijn met de gebruiksvoorwaarden
• LinkedIn gerechtigd is om maatregelen te nemen om zijn platform te beschermen

LinkedIn beschouwt het rapport daarom als onderdeel van een lopend conflict. (zie onderstaande reactie)

"The claims made on the website linked here are plain wrong. The person behind them is subject to an account restriction for scraping and other violations of LinkedIn's Terms of Service.

To protect the privacy of our members, their data, and to ensure site stability, we do look for extensions that scrape data without members' consent or otherwise violate LinkedIn's Terms of Service.

Here’s why: some extensions have static resources (images, javascript) available to inject into our webpages. We can detect the presence of these extensions by checking if that static resource URL exists. This detection is visible inside the Chrome developer console. We use this data to determine which extensions violate our terms, to inform and improve our technical defenses, and to understand why a member account might be fetching an inordinate amount of other members' data, which at scale, impacts site stability. We do not use this data to infer sensitive information about members.

For additional context, in retaliation for this website owner's account restriction, they attempted to obtain an injunction in Germany, alleging LinkedIn had violated various laws. The court ruled against them and found their claims against LinkedIn had no merit, and in fact, this individual's own data practices ran afoul of the law.

Unfortunately, this is a case of an individual who lost in the court of law, but is seeking to re-litigate in the court of public opinion without regard for accuracy."

❖ LinkedIn

Breder patroon in de industrie

Het gebruik van dergelijke technieken staat niet op zichzelf. Eerder zijn vergelijkbare methoden ontdekt bij andere grote bedrijven.

Zo werd in 2021 bekend dat sommige websites scripts gebruikten om:

• netwerkpoorten te scannen
• te detecteren of er bepaalde software op een apparaat draaide

Hoewel bedrijven dit vaak rechtvaardigen met argumenten zoals fraudepreventie en beveiliging, roept het gebruik van zulke technieken vragen op over:

• privacy
• transparantie
• proportionaliteit

Door: Drifter