Eater
Hoe kan het dat zoveel informatie telkens weer op straat belandt?
Je zit thuis ontspannen een serie te kijken, in de veronderstelling dat je netwerk privé is. Toch blijkt uit onderzoek van De Telegraaf dat telecomprovider Odido gegevens van klanten zou hebben gedeeld met het Amerikaanse AI-bedrijf Lifemote.
Volgens ethisch hacker Sipke Mellema verstuurde apparatuur van Odido de MAC-adressen van apparaten in het thuisnetwerk naar servers in de Verenigde Staten. Een MAC-adres is een uniek herkenningsnummer van een apparaat. In combinatie met apparaatnamen zoals “iPad van de kinderen”, “Samsung van papa” of “Apple TV woonkamer” kan dit een duidelijk beeld geven van wat er in een huishouden aanwezig is. Daarmee stonden namen en identificaties van apparaten, volgens de berichtgeving, feitelijk op straat.
De vraag is: waarom zou een bedrijf in Amerika die informatie willen hebben? Volgens privacydeskundige Brenno de Winter is dit soort data commercieel interessant. Met zulke gegevens kunnen profielen worden opgebouwd die bruikbaar zijn voor analyse, marketing en gerichte advertenties. Hoe meer informatie er beschikbaar is, hoe waardevoller die in de keten van datahandel kan worden.
Maar er is meer dan alleen een marketingrisico. Mellema waarschuwt dat deze vorm van ‘metadata’ ook kan bijdragen aan het achterhalen van iemands locatie of gedrag. In verkeerde handen kan een grote database met dit soort gegevens misbruikt worden. Hij wijst erop dat in de Verenigde Staten overheidsdiensten zoals immigratiedienst ICE vergelijkbare data zouden inzetten om mensen op te sporen.
Odido: software aangepast
Toen De Telegraaf Odido om uitleg vroeg, verwees het bedrijf naar het eigen privacystatement en stelde dat het daaraan voldoet. Tegelijk zou in dat statement niet duidelijk worden vermeld dat gegevens met Lifemote gedeeld werden. Volgens de krant is de software inmiddels aangepast, zodat het versturen van deze data is gestopt of beperkt.
Autoriteit Persoonsgegevens: MAC-adres is persoonsgegeven
De Autoriteit Persoonsgegevens (AP) benadrukt dat een MAC-adres kan gelden als een persoonsgegeven, omdat het te koppelen kan zijn aan een individuele gebruiker. Dat betekent dat het verwerken en delen ervan aan strenge regels is gebonden. Zonder duidelijke grondslag en expliciete toestemming mag zulke informatie niet zomaar worden doorgestuurd, zeker niet naar partijen buiten de Europese Unie.
Het incident komt op een moment dat Odido toch al onder een vergrootglas ligt. Eerder werd bekend dat hackers gegevens van ongeveer 6 miljoen (oud-)klanten zouden hebben buitgemaakt. Daarbij zouden onder meer namen, adressen en rekeningnummers zijn gestolen en (deels) zijn opgedoken op het darkweb.
Twee grote privacykwesties in korte tijd roepen een ongemakkelijke vraag op: hoe veilig is je digitale thuisomgeving eigenlijk, als de grootste risico’s niet alleen van buitenaf komen, maar soms ook uit de eigen keten?
*********************************************************
Wat is een Mac-Adres
Een MAC-adres (Media Access Control-adres) is een uniek identificatienummer van de netwerkkaart van een apparaat. Zie het als het “serienummer” van de wifi- of ethernetchip in je telefoon, laptop, smart-tv, printer, enz. Het ziet er vaak zo uit: A4:5E:60:1B:2C:3D.
Waar wordt een MAC-adres voor gebruikt?
- Binnen je eigen netwerk (thuis/werk): je router gebruikt MAC-adressen om apparaten te herkennen en verkeer goed door te sturen.
- Toegang en beveiliging: sommige netwerken gebruiken “MAC-filtering” (alleen apparaten met toegestane MAC-adressen mogen erop).
- Beheer: je kunt in je router zien welk apparaat verbonden is en eventueel blokkeren.
Wat kun je ermee (en wat kunnen anderen ermee)?
Legitiem / handig
- Een onbekend apparaat op je wifi opsporen en blokkeren.
- Apparaten in je netwerk identificeren (wie is “die ene telefoon”?).
- In zakelijke omgevingen: inventariseren en netwerkproblemen oplossen.
Privacy-risico’s / misbruik
- Herkennen en volgen: als een partij jouw MAC-adres ziet op meerdere plekken (bijv. via wifi-metingen), kan die in sommige situaties hetzelfde apparaat terug herkennen en zo bewegingen of bezoekpatronen afleiden.
- Profielen bouwen: gecombineerd met andere info (tijdstippen, netwerknaam, apparaatnaam) kun je sneller richting een persoon of huishouden herleiden.
- Koppelen aan identiteit: een MAC-adres is op zichzelf niet je naam of adres, maar zodra het ergens aan jouw account, modem, klantnummer of locatie is gekoppeld, wordt het wél persoonsgerelateerd.
Wat kan meestal níet zomaar
- Je apparaat “hacken” alleen met een MAC-adres: een MAC-adres alleen is doorgaans niet genoeg om in te breken. Het is vooral een identificatie- en tracking-risico, zeker in combinatie met andere data.
