W Socials integritetshantering granskas efter att en journalist upptäckt offentligt tillgängliga register med användarnas identitetsuppgifter. Det europeiska alternativet till X förnekar att det har drabbats av ett dataintrång och uppger att användarna själva valde vilken information de ville dela.
Enligt uppgifterna omfattade fynden information om nationalitet för fler än 2 500 användare och fullständiga namn för nästan 2 000. I ett mindre antal fall var även e-postadresser offentligt synliga.
W Social uppger dock att ingen har fått tillgång till eller publicerat personuppgifter utan tillstånd. I sitt uttalande den 14 oktober hänvisar företaget till sitt verifieringssystem och det offentliga protokoll som plattformen bygger på som förklaring till de synliga uppgifterna.
Offentliga verifieringsuppgifter väcker frågor
W Social lanserade sin offentliga betaversion i juni 2026 och lyfte fram integritet och identitetsverifiering som centrala funktioner. Plattformen kräver verifiering av verkliga användare för att minska aktiviteten från bottar.
Enligt siffror från juni hade tjänsten omkring 55 000 användare. De rapporterade fynden visar inte att samtliga dessa användare fick identifierande uppgifter exponerade.
Efter upptäckten lanserade den klimatinriktade plattformen We Don’t Have Time ett kontrollverktyg med namnet ”Have you been Wned?”. Verktyget gör det möjligt för användare att undersöka vilka personuppgifter som är offentligt tillgängliga i anslutning till deras konton.
Samtidigt uppger W Social att företaget har granskat ärendet tillsammans med sitt dataskyddsombud och dokumenterat bedömningen. Företaget vidhåller att situationen inte utgör en personuppgiftsincident enligt GDPR.
W Social förklarar sin användning av AT Protocol
Plattformen bygger på AT Protocol, som utvecklades av Bluesky Social PBC.
När någon verifierar ett konto uppger W Social att en verifieringspost publiceras via plattformens modereringskonto. Denna post gör det möjligt för andra att bekräfta att kontot tillhör en verifierad människa.
Enligt företaget innehåller posten verifieringsstatus och det land som utfärdade användarens pass. Den innehåller också ett syntetiskt födelsedatum som används för att fastställa ett åldersintervall.
Dessutom innehåller posten ett juridiskt namn om användaren väljer att dela det.
W Social hävdar att dessa uppgifter är offentliga genom systemets utformning. Säkerhetsforskare ifrågasätter dock om plattformens hantering av information som användarna lämnar tillräckligt väl förhindrar oavsiktliga utlämnanden.
Forskare ifrågasätter kontrollen över publicerad information
Säkerhetsforskare uppger att de tillgängliga posterna kan innehålla namn, uppgifter om nationalitet, ungefärlig födelseinformation och i vissa fall e-postadresser.
De konstaterade dock också att de flesta poster saknade direkt identifierande uppgifter. Dessa poster innehöll främst identifierare och tidsstämplar som visade när konton skapades eller verifierades.
Forskarna uttryckte oro över att information kunde förekomma i oväntade fält. Exempelvis skulle en person kunna ange en adress i ett efternamnsfält, vilket potentiellt skulle kunna leda till att systemet publicerade den.
De varnade också för att det kan vara svårt att ta bort information som publicerats av misstag i ett decentraliserat system.
Dessa observationer väcker frågor om kontrollerna för validering och publicering. De visar dock inte att angripare har kringgått verifieringssystemet eller fått tillgång till privata identitetshandlingar.
Integritetsdebatten kring W Social belyser risker för nätfiske
Offentliga identitetsuppgifter kan hjälpa kriminella att göra bedrägliga meddelanden mer övertygande.
Angripare skulle exempelvis kunna anpassa nätfiskeförsök med hjälp av en persons namn, nationalitet eller ungefärliga ålder. De skulle också kunna kombinera dessa uppgifter med information från andra, orelaterade dataintrång.
Dessutom använder vissa tjänster personlig bakgrundsinformation vid kontroller för kontoåterställning. Forskare varnar för att tillgängliga identitetsuppgifter kan göra det lättare att utge sig för att vara någon annan i sådana situationer.
Oron gäller därför mer än ett enskilt informationsfält. Kombinationen av flera uppgifter kan avslöja mer om en person än vad varje enskild post gör.
Företaget uppger att passbilder och selfies förblir privata
W Socials verifieringsprocess använder en tillhörande app som heter W Identity. Användarna lämnar identitetshandlingar eller annan identitetsinformation, exempelvis ett pass eller en selfie, genom denna process.
Företaget uppger att appen lagrar data på användarens enhet. Det uppger också att dokument raderas från företagets servrar omedelbart efter att verifieringen har slutförts.
I sitt senaste uttalande betonade W Social att de offentliga posterna inte innehåller passbilder, passnummer, selfies eller verkliga födelsedatum.
Företaget förnekade också att det publicerar e-postadresser genom verifieringsposter eller sina Personal Data Server-arkiv. Enligt företaget blir en e-postadress synlig endast när någon använder den som användaridentifierare eller visningsnamn.
Tvisten handlar om vilken information användarna medvetet har samtyckt till att publicera och om plattformen har tillräckliga kontroller för dessa utlämnanden. W Social vidhåller att delningen var frivillig, medan forskare fortsätter att ifrågasätta integritetskonsekvenserna av plattformens offentliga verifieringsposter.
0 svar till ”W Social förnekar dataläcka efter att offentliga identitetsuppgifter väckt integritetsoro”