Je adres, nummer, de school van je kinderen: het ligt voor het oprapen

Bram Martin begint met een compliment. "Er is bijzonder weinig informatie over jou te vinden", zegt hij, nadat hij een zoektocht online heeft gedaan. Dat is best een geruststellende conclusie, want Martin is gespecialiseerd in online onderzoek naar gegevens die via openbare bronnen te vinden zijn.

Normaal gesproken doet Martin dat in opdracht van bedrijven die fraude vermoeden, of die bijvoorbeeld een sollicitant willen screenen. Hij is opgeleid om personen of bedrijven te monitoren en inlichtingen te verzamelen. Om een voorbeeld te geven: een verzekeraar heeft het vermoeden dat een ongeluk in scène is gezet en vraagt Martin te onderzoeken of de betrokken personen elkaar kennen en samen fraude hebben gepleegd door de schade te declareren. Martin: "Vaak laten mensen op verschillende plekken brokjes informatie achter en is het een kwestie van dat allemaal aan elkaar knopen."

Hoewel hij niet te veel kwijt wil over de methodes die hij daarvoor gebruikt - hij wil anderen niet op ideeën brengen - laat hij zien hoe hij binnen enkele minuten via Facebook foto's kan vinden van jaren geleden waarvan ik geen idee had dat ze online stonden. Laat staan dat ze voor iedereen toegankelijk zijn.

"Sociale media zijn gebaseerd op interactie tussen verschillende accounts", zegt Martin. "En juist via die interactie is er heel veel informatie te vinden. Denk aan profielen van vrienden en familieleden, of aan locaties. Check je via Facebook in op Rotterdam Centraal, dan kun je je eigen profiel wel hebben afgeschermd, maar die van het station staat op openbaar en de lijst mensen die daar ooit is ingecheckt is eenvoudig doorzoekbaar."

Tekst loopt door onder afbeelding

Digitale sporen

Omdat hij als geen ander weet hoe groot de schatkamer aan gegevens op internet is, besloot Martin een deel van zijn tijd te besteden aan het geven van voorlichting via zijn bedrijf Aware Online. Hij schreef het boek 'Bewust op het internet' en geeft trainingen. Ook helpt Aware Online bedrijven om hun personeel te 'scannen', zodat zij weten welke kwetsbare informatie er over personeel op internet staat. Hij geeft vervolgens advies. Dat gaat verder dan het controleren van je privacyinstelling op sociale media - want dat kennen we nu wel.

Na de oppervlakkige zoektocht via Facebook, is Martin op zoek gegaan naar mijn online sporen. Mijn e-mailadres en telefoonnummer vond hij snel. Maar het lukte hem bijvoorbeeld niet mijn woonplaats verder te specificeren dan Amsterdam, mijn geboortedatum te vinden en over mijn gezinssituatie kon hij hooguit een goede gok doen, overigens bijna correct. Martin: "Voor klanten lever ik nooit informatie aan waarvan ik niet honderd procent zeker ben. Ik verifieer altijd wat ik vind. Dat neem ik zeer nauw."

De zoektocht naar mijn digitale sporen hield hij beperkt. Hij zocht bijvoorbeeld alleen via sociale media. Juist omdat hij wil laten zien hoeveel informatie op die manier te achterhalen is.

Misbruiken

Dat hij ver in iemands leven kan doordringen enkel en alleen via voor iedereen toegankelijke informatie, toont hij aan met een onderzoek dat het hij deed naar Nederlandse medewerkers van luchtvaartmaatschappijen. "Het is een beroepsgroep die te maken heeft met veel veiligheidsmaatregelen. Als je veel van de piloot weet, inclusief de plek waar zijn kinderen naar school gaan, of waar zijn vrouw werkt, zou je dat kunnen misbruiken. Maar ik zou dit in principe voor allerlei beroepsgroepen kunnen doen, van politiemedewerkers, militairen tot gemeenteambtenaren."

Hij toont een voorbeeld. Een piloot die in de buurt van Rotterdam woont, heeft zijn facebookprofiel niet goed afgeschermd. Woonplaats, foto's, vrienden, geplaatste berichten - het is allemaal voor iedereen te zien. Datzelfde geldt voor het profiel van zijn vrouw.

Martin laat zien hoe hij het exacte adres van de piloot achterhaalt. "Zijn woonplaats heeft hij zelf aangegeven. Via een foto op Facebook van een barbecue in de tuin, kan ik informatie halen over de buurt waar hij woont. Als ik dat weet, is het precieze huisadres vervolgens eenvoudig te achterhalen via het openbare telefoonboek." Om te controleren of dat klopt, kijkt Martin via Google Streetview of het inderdaad hetzelfde huis is. Dat blijkt het geval, voor het adres staat de nieuwe auto die de piloot eerder via een foto op Facebook trots aan zijn vrienden showde.

Maar het blijft niet bij het adres. Ook de plek waar de kinderen van de piloot naar de peuterspeelzaal gaan, weet Martin te achterhalen. Het echtpaar heeft een foto van hun dochter tijdens de eerste dag naar de peuterspeelzaal op Facebook geplaatst. Ook op die foto staat dusdanig veel omgevingsinformatie, dat Martin kan achterhalen waar het is.

Maar wat dan nog? Het blijft een vraag die hem vaak gesteld wordt: wat kun je met die informatie? Martin: "Ik kwam op het idee om onderzoek naar piloten te doen na berichten dat cabinepersoneel op Curaçao onder druk was gezet om drugs aan boord mee te smokkelen. Ik kan me voorstellen dat als je iemand onder druk wilt zetten en je verschijnt bij de school van de kinderen, dat dat indruk maakt."

Specifiek voor één persoon

Maar verder is het onderzoek naar luchtvaartpersoneel voor Martin vooral een voorbeeld om aan te tonen dat informatie die hij kan vinden, ook voor internetcriminelen toegankelijk is. Die kunnen dat misbruiken voor bijvoorbeeld identiteitsfraude en spearphishing.

Dat laatste is een variant van phishing - oftewel nep-e-mails waarmee criminelen de ontvanger proberen te overtuigen te klikken op een bepaalde link waarna er een virus wordt geïnstalleerd, of waarmee ze hengelen naar inloggegevens. Een phishing-e-mail wordt naar veel adressen tegelijk gestuurd, met het idee dat er altijd wel iemand intrapt. Spearphishing is ook een nep-e-mail, maar dan specifiek op één persoon of een kleine groep gericht. Omdat de crimineel niet meer het voordeel van de massa heeft, doet hij om overtuigend over te komen, eerst voorwerk naar de persoon die hij wil misleiden. Hij onderzoekt via dezelfde openbare bronnen als Martin iemands functie, iemands netwerk of hobby en zal daarnaar verwijzen in zijn nep-e-mail. Je krijgt dan zogenaamd een e-mail van een oude studiegenoot, of uit naam van een vriend die verwijst naar het weekendje weg waar je foto's van op Facebook hebt geplaatst.

Maar ten slotte is het ook een gevoelskwestie. Dat iemand een gedetailleerd beeld van jouw leven krijgt door informatie die je niet eens bewust online achterlaat samen te rapen, kan je privacy aantasten. Dan hoeft de data niet eens misbruikt te worden.

Open data-onderzoek, mag dat zomaar?

De informatie waar Bram Martin online naar op zoek gaat, staat dan wel in open bronnen of semi-open bronnen (gegevens waar je alleen bij komt met een account, of na betaling). Maar dat betekent niet dat hij alles onbeperkt mag verzamelen. Aangezien dat geldt als het verwerken van persoonsgegevens, moet hij zich aan de privacywetgeving houden. Daarnaast geldt de Wet Particuliere Beveiligingsorganisaties en Recherchebureaus. Daarin staat onder meer dat je een vergunning van het ministerie van veiligheid en justitie moet hebben om de data te mogen vergaren en analyseren.

Proportionaliteit is daarbij belangrijk. Dat wil zeggen dat je iemand niet volledig mag doorlichten als daar geen gegronde reden voor is. Om een voorbeeld te geven: als iemand komt solliciteren en je wil als bedrijf weten wat voor vlees je in de kuip hebt, dan betekent dat nog niet dat je iemands gehele internetspoor mag nagaan. Hoffman Bedrijfsrecherche, een grote speler in deze markt, werd daar vorig jaar nog voor op de vingers getikt door de Autoriteit Persoonsgegevens. Het bedrijf bleek onder meer kopieën van identiteitsbewijzen te maken terwijl dat niet mocht. En voegde irrelevante informatie van sociale media aan dossiers toe. Het bedrijf heeft de procedures inmiddels aangepast.

Tips om informatie voor jezelf te houden

Niets op sociale media zetten, is de meest effectieve methode om ervoor te zorgen dat er weinig informatie over je te vinden is, zegt Bram Martin. Maar hij begrijpt dat dat voor veel mensen onrealistisch is. Daarom geeft hij in het boek 'Bewust op het internet' ook andere tips:

• Wie zelf bewust is van wat wel en niet online verschijnt, doet er goed aan om ook de omgeving te vragen niets op internet te plaatsen. Is de informatie over jou niet via je eigen account te vinden, dan kan het namelijk zijn dat een zoektocht langs familieleden of vrienden alsnog een schat aan gegevens oplevert.

• Accepteer niet zomaar onbekenden als vriend of connectie. Het is bekend dat internetcriminelen gebruikmaken van nepaccounts op sociale media. Bovendien is een zorgvuldig afgeschermd profiel voor vrienden gewoon zichtbaar.

• Schakel de locatiegegevens uit. Sociale media als Twitter en Facebook zien het liefste dat iedereen de locatie deelt. Maar Martin laat zien hoe makkelijk hij daardoor kan achterhalen waar iemand die fanatiek Twitter gebruikt, woont en werkt - veel mensen hebben nou eenmaal een vast ritme.

• Plaats nooit een (foto van) een identiteitsbewijs en rijbewijs online. Ook je volledige curriculum vitea uploaden is onverstandig. Als er iets een schat aan informatie bevat waar iemand mee te misleiden is, dan is het wel een cv, waarschuwt Martin.

• Scherm accounts op sociale media af voor zoekmachines. Dat kan bij de accountinstellingen van bijvoorbeeld Facebook. Je kunt daarin uitschakelen dat zoekmachines buiten Facebook zelf doorverwijzen naar je account. Dat lost niet alles op, maar maakt de informatie net een tikkeltje minder makkelijk doorzoekbaar.