Het gevaar van autofill in Safari, Chrome en andere browsers: meer info dan je denkt

Gebruik je automatisch invullen in je browser, dan loop je het risico dat je meer informatie vrijgeeft dan je wilt. Bij automatisch formulieren invullen (autofill) worden velden zoals straatnaam en postcode automatisch ingevuld. Een Finse webdeveloper ontdekte echter dat er bij gebruik van autofill meer informatie kan worden ingevuld, dan jij kunt zien. Het geldt voor Chrome, Safari en Opera.

Autofill verklapt meer dan je denkt

Terwijl jij een vakje te zien krijgt waarin je alleen voor- en achternaam hoeft in te vullen, zijn er ook (niet-zichtbare) vakjes op de website aanwezig waarin je creditcard of je woonadres worden opgehaald. Dat ontdekte Viljami Kuosmanen en hij bouwde een simpele website om het te demonstreren. Je vult een naam en e-mailadres in op de betreffende website, maar in verborgen velden achterhaalt Kuosmanen nog meer persoonlijke informatie. In dit geval is het maar een onschuldige demonstratie, maar het zou kunnen worden misbruikt bij phishing. Kwaadwillenden kunnen je woonadres, telefoonnummer en creditcard achterhalen op een simpele manier.

Wie het liever zelf niet probeert kan ook onderstaand filmpje bekijken:

This is why I don't like autofill in web forms. #phishing #security #infosec pic.twitter.com/mVIZD2RpJ3

— viljami.io 🇫🇮 (@anttiviljami) January 4, 2017

Het probleem bestaat ook als je plugins of tools zoals LastPass gebruikt. Daarom is het verstandig om nog eens goed naar de autofill-instellingen van je browser te kijken. Ook zou je kunnen overstappen op Firefox, dat standaard nog geen autofile-functie heeft, maar het wel in ontwikkeling heeft. Bij Chrome staat autofill standaard ingeschakeld en slaat daarbij e-mailadressen, telefoonnummers, mailadressen, creditcardinformatie en andere persoonlijke data op.

Sleutelhanger ook kwetsbaar
Safari heeft met de beveiligde iCloud Sleutelhanger een op het oog goed systeem ontwikkeld omdat de gegevens altijd goed zijn versleuteld. Maar als je die beveiligde gegevens onbewust invult op een website, ben je nog steeds de Sjaak.

Apple zou het probleem kunnen oplossen door bij het invullen van formulieren te controleren of er geen verborgen velden aanwezig zijn en dat alleen de informatie wordt vrijgegeven waar jij toestemming voor geeft.