W Socials privatlivspraksis er under granskning, efter at en journalist fandt offentligt tilgængelige registreringer med brugernes identitetsoplysninger. Det europæiske alternativ til X afviser at have været udsat for et databrud og oplyser, at brugerne selv valgte, hvilke oplysninger de ville dele.
Fundene omfattede angiveligt oplysninger om nationalitet for mere end 2.500 brugere og fulde navne for næsten 2.000. I et mindre antal tilfælde var e-mailadresser også offentligt synlige.
W Social oplyser dog, at ingen har fået adgang til eller offentliggjort personoplysninger uden tilladelse. I sin udtalelse fra den 14. oktober forklarer virksomheden de synlige registreringer med sit verificeringssystem og den offentlige protokol, som platformen bygger på.
Offentlige verificeringsregistreringer vækker spørgsmål
W Social lancerede sin offentlige betaversion i juni 2026 og fremhævede privatlivsbeskyttelse og identitetsverificering som centrale funktioner. Platformen kræver verificering af rigtige brugere for at reducere botaktivitet.
Ifølge tal fra juni havde tjenesten omkring 55.000 brugere. De rapporterede fund fastslår ikke, at alle disse brugere fik eksponeret identificerende oplysninger.
Efter opdagelsen lancerede den klimafokuserede platform We Don’t Have Time et kontrolværktøj kaldet “Have you been Wned?”. Værktøjet giver brugerne mulighed for at undersøge, hvilke personoplysninger der er offentligt tilgængelige i forbindelse med deres konti.
Samtidig oplyser W Social, at virksomheden har gennemgået sagen sammen med sin databeskyttelsesrådgiver og dokumenteret vurderingen. Virksomheden fastholder, at situationen ikke udgør et brud på persondatasikkerheden i henhold til GDPR.
W Social forklarer sin brug af AT Protocol
Platformen benytter AT Protocol, som blev udviklet af Bluesky Social PBC.
Når en person verificerer en konto, oplyser W Social, at en verificeringsregistrering offentliggøres via platformens modereringskonto. Denne registrering gør det muligt for andre at bekræfte, at kontoen tilhører et verificeret menneske.
Ifølge virksomheden indeholder registreringen verificeringsstatus og det land, der har udstedt brugerens pas. Den indeholder også en syntetisk fødselsdato, som bruges til at fastslå et aldersinterval.
Derudover indeholder registreringen et juridisk navn, hvis brugeren vælger at dele det.
W Social argumenterer for, at disse registreringer er offentlige som en del af systemets design. Forskere stiller dog spørgsmålstegn ved, om platformens håndtering af oplysninger fra brugerne i tilstrækkelig grad forhindrer utilsigtet videregivelse.
Forskere stiller spørgsmålstegn ved kontrollen med offentliggjorte oplysninger
Sikkerhedsforskere oplyser, at de tilgængelige registreringer kan indeholde navne, oplysninger om nationalitet, omtrentlige fødselsoplysninger og i nogle tilfælde e-mailadresser.
De fandt dog også, at de fleste registreringer manglede direkte identificerende oplysninger. Disse registreringer indeholdt primært identifikatorer og tidsstempler, der viste, hvornår konti blev oprettet eller verificeret.
Forskerne udtrykte bekymring over, at oplysninger kunne optræde i uventede felter. Eksempelvis kunne en person indtaste en adresse i et efternavnsfelt, hvilket potentielt kunne få systemet til at offentliggøre den.
De advarede også om, at det kan være vanskeligt at fjerne oplysninger, som ved en fejl er blevet offentliggjort i et decentraliseret system.
Disse observationer rejser spørgsmål om kontrollen med validering og offentliggørelse. De fastslår dog ikke, at angribere har omgået verificeringssystemet eller fået adgang til private identitetsdokumenter.
Debatten om W Socials privatlivsbeskyttelse fremhæver phishingrisici
Offentligt tilgængelige identitetsoplysninger kan hjælpe kriminelle med at gøre falske beskeder mere overbevisende.
Angribere kan eksempelvis tilpasse phishingforsøg ved hjælp af en persons navn, nationalitet eller omtrentlige alder. De kan også kombinere disse oplysninger med information fra andre, ikke-relaterede databrud.
Desuden bruger nogle tjenester personlige baggrundsoplysninger ved kontrol i forbindelse med gendannelse af konti. Forskere advarer om, at tilgængelige identitetsoplysninger kan gøre det lettere at udgive sig for at være en anden person i sådanne situationer.
Bekymringen handler derfor om mere end et enkelt informationsfelt. Kombinationen af flere oplysninger kan afsløre mere om en person, end hver enkelt registrering gør isoleret set.
Virksomheden oplyser, at pasbilleder og selfies forbliver private
W Socials verificeringsproces bruger en tilhørende app kaldet W Identity. Brugerne indsender dokumentation for deres identitet, eksempelvis et pas eller en selfie, gennem denne proces.
Virksomheden oplyser, at appen gemmer data på brugerens enhed. Den oplyser også, at dokumenter slettes fra virksomhedens servere umiddelbart efter, at verificeringen er afsluttet.
I sin seneste udtalelse understregede W Social, at de offentlige registreringer ikke indeholder pasbilleder, pasnumre, selfies eller faktiske fødselsdatoer.
Virksomheden afviste også, at den offentliggør e-mailadresser gennem verificeringsregistreringer eller sine Personal Data Server-datalagre. Ifølge virksomheden bliver en e-mailadresse kun synlig, når nogen bruger den som brugernavn eller visningsnavn.
Uenigheden handler om, hvilke oplysninger brugerne bevidst har accepteret at offentliggøre, og om platformen har tilstrækkelig kontrol med denne videregivelse. W Social fastholder, at delingen var frivillig, mens forskere fortsat stiller spørgsmålstegn ved konsekvenserne for privatlivets fred af platformens offentlige verificeringsregistreringer.
0 svar til “W Social afviser datalæk efter bekymringer om privatlivets fred på grund af offentligt tilgængelige identitetsoplysninger”