Een recensie achterlaten bij een restaurant, hotel of webshop lijkt tamelijk onschuldig. Je helpt er een bedrijf mee en geeft andere klanten nuttige informatie. Maar ondertussen kan zo’n review iets prijsgeven wat je helemaal niet hebt ingevuld: met wie je bevriend bent. En cybercriminelen kunnen daar misbruik van maken.
Dat blijkt uit onderzoek van de University of Texas. Centraal staat een vorm van cybercriminaliteit die bekendstaat als spear phishing. Daarbij doet een scammer zich voor als iemand die het slachtoffer vertrouwt in de hoop geld, wachtwoorden, bankgegevens of andere vertrouwelijke informatie los te krijgen.
En phishing is inmiddels big business. Tussen 2021 en 2023 kwamen er bij de FBI bijna één miljoen klachten binnen, samen goed voor 305 miljoen dollar aan verliezen. “Reviews zijn op zich goed”, zegt onderzoeker Yan Leng. “Het probleem is dat netwerkgegevens kunnen uitlekken.”
Vrienden vinden zonder vriendenlijst
Met die netwerkgegevens wordt informatie bedoeld over onze sociale relaties met anderen. Op sociale media zoals Facebook zijn zulke connecties vaak zichtbaar. Op reviewplatforms zoals Amazon, Google en Airbnb ligt dat anders. Daar wordt geen openbare vriendenlijst weergegeven. Maar dat betekent niet dat die relaties geheim blijven.
Leng en haar collega’s onderzochten of het mogelijk is om vriendschappen af te leiden uit online gedrag, zoals recensies en beoordelingen. Daarvoor gebruikten ze gegevens van Yelp, afkomstig van 4.299 mensen uit Louisiana en Pennsylvania in 2020.
Yelp bood daarbij een belangrijk voordeel: zowel recensies als contactenlijsten waren openbaar toegankelijk. Daardoor konden de wetenschappers eerst op basis van recensies voorspellen welke gebruikers met elkaar verbonden waren en die voorspellingen vervolgens vergelijken met de echte vriendenlijst.
De resultaten zijn behoorlijk opvallend. Alleen op basis van online gedrag kon bijna de helft van de sociale relaties correct worden achterhaald. Daarbij werd wel 10 procent van de niet-gelinkte gebruikers ten onrechte als verbonden aangemerkt. Liep die foutmarge op tot 20 procent, dan kon zelfs tot 63 procent van de werkelijke relaties worden gevonden.
De lengte van je recensie verraadt je
Een opvallend sterke aanwijzing bleek iets simpels: de lengte van recensies. Als twee mensen elkaar volgen, bestaat er een relatie tussen de lengte van hun beoordelingen. Schrijft een vriend langere reviews, dan kan iemand dat gedrag bijvoorbeeld overnemen en eveneens langere stukken plaatsen. Er kan ook een aanvullend patroon ontstaan: de een schrijft uitgebreid, terwijl de ander kort reageert.
Zulke patronen vormen als het ware gedragsmatige vingerafdrukken van sociale relaties. Zodra een cybercrimineel daaruit afleidt wie met wie verbonden is, kunnen vrienden van een gebruiker worden benaderd met frauduleuze mails of berichten waarin de scammer zich voordoet als iemand die ze kennen.
Daarbij telt schaal. Hoe groter de aanval, hoe lucratiever die kan worden. In de gegevens uit Pennsylvania liep het berekende rendement op van 109 procent bij 500 phishingpogingen tot 1098 procent bij 10.000 pogingen. Met andere woorden: Stel dat 500 pogingen 1000 euro kosten aan investering, dan komt het rendement neer op 1090 euro winst, dus 2090 euro totale opbrengst. Bij 10.000 pogingen is de winst bij 1000 euro aan kosten theoretisch 10.980 euro.
Een beetje ruis kan helpen
Bestaande privacywetgeving, waaronder de Europese Algemene Verordening Gegevensbescherming (AVG), biedt tegen dit specifieke risico geen volledige bescherming. Een platform hoeft immers geen vriendenlijst openbaar te maken om sociale relaties alsnog bloot te leggen. Ogenschijnlijk onschuldige gedragsgegevens kunnen voldoende zijn. Een mogelijke oplossing is het toevoegen van ruis: kleine, zorgvuldig ontworpen willekeurige veranderingen in de gegevens voordat ze worden vrijgegeven.
Een platform kan bijvoorbeeld de tekst van recensies subtiel aanpassen, zodat de lengte varieert zonder dat de betekenis verandert. Daarmee worden de patronen die relaties verraden moeilijker herkenbaar en blijven de gegevens bruikbaar voor analyse. In simulaties verminderde deze aanpak de economische aantrekkelijkheid van cyberaanvallen. Soms werd het verwachte rendement zelfs negatief. Hoeveel ruis wenselijk is, blijft wel een afweging tussen bruikbaarheid en privacy.
Voor Leng is één conclusie helder: het huidige risico is onacceptabel. “Platforms moeten niet alleen beschermen wat gebruikers prijsgeven, maar ook wat anderen daaruit kunnen afleiden.”
Wil je niets van Scientias missen? Volg Scientias op Google Discover dan zie je al onze verhalen!
Uitgelezen? Luister ook eens naar de Scientias Podcast:
