Geheimenapp Whisper liet jarenlang gebruikersdata uitlekken via open database

Whisper geheimenapp niet zo geheim

In ons artikel De duistere kant van apps (over de asociale kant van sociale netwerken) uit 2014 kwam Whisper ook voorbij. De app had rond die periode meer dan 50 miljoen investeringen binnengeharkt en was een alternatief voor Secret, een andere geheimen-app. Whisper ontstond al in 2008, vlak nadat de App Store van start was gegaan.

Nu blijkt echter uit onderzoek van de Washington Post, dat er gevoelige informatie toegankelijk was, die terug te voeren is op bepaalde gebruikers. Whisper had een open database, die zonder wachtwoord te raadplegen was. Iedereen kon er vrij in bladeren. Op die manier was de leeftijd, etniciteit, woonplaats, bijnaam, het geslacht en het lidmaatschap van bepaalde groepen te achterhalen. Het ging hierbij vrijwel uitsluitend over seksuele onthullingen en discussies over seksuele voorkeuren. Echte namen van gebruikers stonden er niet in.

Populair onder minderjarigen
Het kwalijke daarvan was dat Whisper erg populair was onder tieners en dat een kwaadwillende op deze manier gemakkelijk minderjarigen kon vinden. De database bevatte namelijk de locatiedata van de laatst gepubliceerde post, zodat bijvoorbeeld was te achterhalen waar iemand naar school ging, woonde of werkte. De Washington Post vond 1,3 miljoen resultaten toen ze zochten naar gebruikers onder de 15.

Externe beveiligingsonderzoekers vonden daarnaast nog 900 miljoen gebruikersrecords van de app sinds 2012. Volgens een woordvoerder van Whisper’s moederbedrijf MediaLab ging het bij de gevoelige gegevens om zaken waarbij gebruikers zelf konden kiezen of ze het wilden delen. Het echte probleem is echter dat de data op grote schaal te downloaden en te analyseren was. Whisper heeft de toegang tot de database nu ingetrokken en de onderzoekers hebben de zaak bij de politie gemeld.

In 2014 kwam Whisper ook al in problemen over de beveiliging. The Guardian ontdekte toen dat de app locatiedata van gebruikers volgde, ook als ze dit hadden uitgeschakeld. Whisper deelde ook informatie met de Amerikaanse Defensie. Daarna bleef Whisper echter gewoon data verzamelen en de locatiedata verschenen zelfs op een wereldkaart.