W Socials personvernpraksis er under gransking etter at en journalist oppdaget offentlig tilgjengelige oppføringer som inneholder brukernes identitetsopplysninger. Det europeiske alternativet til X avviser at det har vært utsatt for et datainnbrudd, og sier at brukerne selv valgte hvilken informasjon de ønsket å dele.
Funnene skal ha omfattet opplysninger om nasjonalitet for mer enn 2 500 brukere og fulle navn for nesten 2 000. I et lite antall tilfeller var også e-postadresser offentlig synlige.
W Social hevder imidlertid at ingen har fått tilgang til eller publisert personopplysninger uten tillatelse. I sin uttalelse fra 14. oktober forklarer selskapet de synlige oppføringene med verifiseringssystemet sitt og den offentlige protokollen som plattformen bygger på.
Offentlige verifiseringsoppføringer vekker spørsmål
W Social åpnet sin offentlige betaversjon i juni 2026 og fremhevet personvern og identitetsverifisering som sentrale funksjoner. Plattformen krever verifisering av ekte brukere for å redusere botaktivitet.
Ifølge tall fra juni hadde tjenesten omtrent 55 000 brukere. De rapporterte funnene fastslår ikke at alle disse brukerne fikk identifiserende opplysninger eksponert.
Etter oppdagelsen lanserte den klimafokuserte plattformen We Don’t Have Time et kontrollverktøy kalt «Have you been Wned?». Verktøyet lar brukere undersøke hvilke personopplysninger som er offentlig tilgjengelige i tilknytning til kontoene deres.
Samtidig opplyser W Social at selskapet har gjennomgått saken sammen med sitt personvernombud og dokumentert vurderingen. Selskapet fastholder at situasjonen ikke utgjør et brudd på personopplysningssikkerheten i henhold til GDPR.
W Social forklarer bruken av AT Protocol
Plattformen kjører på AT Protocol, som ble utviklet av Bluesky Social PBC.
Når noen verifiserer en konto, opplyser W Social at en verifiseringsoppføring publiseres gjennom plattformens modereringskonto. Denne oppføringen gjør det mulig for andre å bekrefte at kontoen tilhører et verifisert menneske.
Ifølge selskapet inneholder oppføringen verifiseringsstatus og landet som utstedte brukerens pass. Den inneholder også en syntetisk fødselsdato som brukes til å fastslå et aldersintervall.
I tillegg inneholder oppføringen et juridisk navn dersom brukeren velger å dele det.
W Social argumenterer for at disse oppføringene er offentlige som en del av systemets utforming. Forskere stiller likevel spørsmål ved om plattformens håndtering av informasjon fra brukerne i tilstrekkelig grad hindrer utilsiktet utlevering.
Forskere stiller spørsmål ved kontrollen over publisert informasjon
Sikkerhetsforskere opplyser at de tilgjengelige oppføringene kan inneholde navn, opplysninger om nasjonalitet, omtrentlig fødselsinformasjon og i enkelte tilfeller e-postadresser.
De fant imidlertid også at de fleste oppføringene manglet direkte identifiserende opplysninger. Disse oppføringene inneholdt hovedsakelig identifikatorer og tidsstempler som viste når kontoer ble opprettet eller verifisert.
Forskerne uttrykte bekymring for at informasjon kunne dukke opp i uventede felt. For eksempel kunne en person skrive inn en adresse i et etternavnsfelt, noe som potensielt kunne føre til at systemet publiserte den.
De advarte også om at det kan være vanskelig å fjerne informasjon som er publisert ved en feil, i et desentralisert system.
Disse observasjonene reiser spørsmål om kontrollene for validering og publisering. De fastslår imidlertid ikke at angripere har omgått verifiseringssystemet eller fått tilgang til private identitetsdokumenter.
Personverndebatten rundt W Social fremhever risikoen for phishing
Offentlig tilgjengelige identitetsopplysninger kan hjelpe kriminelle med å gjøre falske meldinger mer overbevisende.
Angripere kan for eksempel tilpasse phishing-forsøk ved å bruke en persons navn, nasjonalitet eller omtrentlige alder. De kan også kombinere disse opplysningene med informasjon fra andre, urelaterte datainnbrudd.
Videre bruker enkelte tjenester personlig bakgrunnsinformasjon ved kontroller knyttet til gjenoppretting av kontoer. Forskere advarer om at tilgjengelige identitetsopplysninger kan gjøre det enklere å utgi seg for å være noen andre i slike situasjoner.
Bekymringen strekker seg derfor utover ett enkelt informasjonsfelt. En kombinasjon av flere opplysninger kan avsløre mer om en person enn hver enkelt oppføring gjør isolert sett.
Selskapet sier at passbilder og selfier forblir private
W Socials verifiseringsprosess bruker en tilhørende app kalt W Identity. Brukerne leverer dokumentasjon på identiteten sin, for eksempel et pass eller en selfie, gjennom denne prosessen.
Selskapet opplyser at appen lagrer data på brukerens enhet. Det sier også at dokumenter slettes fra selskapets servere umiddelbart etter at verifiseringen er fullført.
I sin siste uttalelse understreket W Social at de offentlige oppføringene ikke inneholder passbilder, passnumre, selfier eller faktiske fødselsdatoer.
Selskapet avviste også at det publiserer e-postadresser gjennom verifiseringsoppføringer eller sine Personal Data Server-datalagre. Ifølge selskapet blir en e-postadresse bare synlig når noen bruker den som brukernavn eller visningsnavn.
Uenigheten handler om hvilken informasjon brukerne bevisst har samtykket til å publisere, og om plattformen har tilstrekkelig kontroll over slik deling. W Social fastholder at delingen var frivillig, mens forskere fortsetter å stille spørsmål ved personvernkonsekvensene av plattformens offentlige verifiseringsoppføringer.
0 responses to “W Social avviser datalekkasje etter at offentlig tilgjengelige identitetsopplysninger vekker personvernbekymringer”