Volgens Mozilla, de ontwikkelaar van Firefox, gebruiken steeds meer bedrijven een schat aan persoonlijke gegevens om te bepalen hoeveel een individuele klant bereid is te betalen. 

Deze praktijk, 'surveillance pricing' genoemd, zorgt ervoor dat twee mensen voor exact hetzelfde product op hetzelfde moment een ander bedrag kunnen zien.

Wat is surveillance pricing?

In tegenstelling tot gewone dynamische prijzen, die reageren op vraag en aanbod, draait surveillance pricing om het individu.

Algoritmes verzamelen locatiegegevens, surfgedrag, aankoopgeschiedenis, het type apparaat en zelfs muisbewegingen om een profiel op te bouwen.

Op basis daarvan wordt ingeschat hoe prijsgevoelig iemand is, waarna de prijs daarop wordt afgestemd.

Wie via een duur toestel shopt, weinig prijzen vergelijkt of in een welvarende buurt woont, kan zo meer gaan betalen dan een ander voor hetzelfde artikel.

Voorbeelden uit de praktijk

Onderzoek van de Amerikaanse Federal Trade Commission liet eerder al zien dat bedrijven precieze locatiegegevens en browsegeschiedenis inzetten om klanten individueel te prijzen. Mozilla en Consumers International onderzochten in 2022 de datingapp Tinder en ontdekten dat gebruikers boven de dertig structureel meer betaalden voor de premiumversie dan jongere gebruikers.

Ook luchtvaartmaatschappijen en supermarkten liggen onder een vergrootglas: in de Verenigde Staten lopen inmiddels rechtszaken over de vraag of klantdata is gebruikt om vliegtickets duurder te maken, en verschillende Amerikaanse staten overwegen wetgeving die de praktijk aan banden legt.

Op tweedehandsplatform Vinted duiken steeds vaker advertenties op met foto's die door kunstmatige intelligentie zijn gemaakt of bewerkt. Uit een rondgang van de NOS blijkt dat dit geen incident meer is: de redactie stuitte binnen een uur op tientallen advertenties met AI-beelden.

Waar ligt de grens?

Niet elk gebruik van AI is problematisch. Het wegpoetsen van een rommelige achtergrond maakt een advertentie overzichtelijker zonder de koper te misleiden. Anders wordt het wanneer de kleur, pasvorm of staat van een product wordt aangepast, of wanneer verkopers AI-gegenereerde fotomodellen gebruiken die het kledingstuk "dragen" terwijl ze in werkelijkheid niet bestaan. Kopers krijgen dan een vertekend beeld van hoe het artikel er echt uitziet.

Vinted zelf laat weten dat AI als hulpmiddel is toegestaan, zolang de foto een nauwkeurige weergave van het item blijft. Gebreken en beschadigingen moeten volgens de voorwaarden van het platform zichtbaar zijn op de foto's. Bewust misleiden met AI-beelden is niet toegestaan, maar het platform geeft geen cijfers over hoeveel meldingen het hierover binnenkrijgt.

Google waarschuwt voor een groep cybercriminelen die medewerkers van bedrijven telefonisch benadert en daarbij het telefoonnummer van de eigen IT-helpdesk vervalst. Door deze zogeheten vishing-aanvallen (voice phishing) overtuigender te maken, weten de daders toegang te krijgen tot bedrijfsnetwerken en cloudomgevingen. Dat meldt het Google Threat Intelligence Group in een analyse van de groep, die wordt aangeduid als UNC6671.

Nepverhaal over verplichte beveiligingsupdate

Bij de aanvallen bellen de criminelen medewerkers, vaak op hun privételefoon, met het verhaal dat er dringend een beveiligingsmigratie moet worden doorgevoerd, bijvoorbeeld het instellen van een passkey of het vernieuwen van de tweestapsverificatie. Om geloofwaardig over te komen, spoofen ze het nummer van de helpdesk. Het slachtoffer wordt vervolgens doorverwezen naar een neppe inlogpagina die lijkt op een officieel bedrijfsportaal. Via deze pagina onderscheppen de aanvallers wachtwoorden én tweefactorcodes met zogeheten adversary-in-the-middle-technieken, waarna ze zich toegang verschaffen tot omgevingen als Microsoft 365 en Okta om gegevens te stelen.

Moderne connected toys bevatten microfoons, GPS-trackers en cloudverbindingen — en de beveiliging is vaak ver te zoeken.

Het ziet eruit als een onschuldig knuffelbeertje. Het praat met je kind, onthoudt zijn naam, zijn lievelingskleur, zijn angsten voor het slapengaan. En het stuurt alles door naar een server — ergens. Welkom in het tijdperk van de connected toy: het speelgoed dat luistert, kijkt en bijhoudt. En zelden zo goed beveiligd is als beloofd.

Een speelgoedmarkt vol sensoren

In de praktijk betekent dit dat veel speelgoed dat voor kinderen wordt verkocht, misbruikt kan worden om gezinnen te bespioneren, te manipuleren wat kinderen horen of zien, of gevoelige gegevens bloot te stellen.

Microfoon

Speelgoed registreert gesprekken in de omgeving, ook als het kind niet actief met het speelgoed speelt

GPS-tracker

Locatiedata van het kind kan worden onderschept bij zwakke Bluetooth- of serverbeveiliging

Cloudverbinding

Foto's, stemopnames en gedragsdata worden doorgestuurd naar externe servers, soms zonder encryptie

Van knuffeldier tot afluisterapparaat

Het klinkt als sciencefiction, maar het is gedocumenteerde werkelijkheid. Een aanvaller die controle krijgt over connected speelgoed kan camera's en microfoons op afstand activeren zonder dat iemand het weet, waardoor het speelgoed feitelijk verandert in een bewakingsapparaat in de slaapkamer van een kind.

Een berucht voorbeeld is de pop "My Friend Cayla", die in Duitsland door de telecomtoezichthouder werd verboden nadat bleek dat ze via Bluetooth gehackt kon worden om privégesprekken op te nemen. De GPS-functionaliteit in bepaald speelgoed is bijzonder zorgwekkend, omdat een hacker bij een inbreuk de exacte locatie van een kind kan achterhalen of toegang kan krijgen tot privégesprekken.

Het is het middelpunt van de moderne woonkamer: de smart-tv. Met één druk op de knop stream je de nieuwste series en vliegen de 4K-beelden je om de oren. Maar terwijl jij naar het scherm staart, kijkt het scherm minstens zo hard terug. Achter de schermen verzamelen televisies op grote schaal data over ons kijkgedrag, onze locatie en onze gewoonten. Hoe werkt deze onzichtbare spion en waarom verbaast het ons nog steeds?

De onzichtbare kijker: ACR-technologie

Veel consumenten denken dat een smart-tv pas gegevens verzamelt wanneer ze een specifieke app zoals Netflix of YouTube openen. Niets is minder waar. Moderne televisies maken gebruik van een geavanceerde technologie genaamd Automatic Content Recognition (ACR). Deze software maakt continu digitale vingerafdrukken van de pixels die op dat moment op je scherm verschijnen.

Het maakt de ACR-software niet uit of het beeld afkomstig is van een streamingdienst, een aangesloten PlayStation, een Blu-ray-speler of de traditionele kabeldecoder. De tv herkent de unieke visuele patronen, matcht deze met een centrale database en weet exact welke film, serie, game of reclamespot je bekijkt. Dit gebeurt realtime en volledig op de achtergrond, zonder dat er een app-licentie aan te pas komt.

Wat weten ze nog meer van je?

De verzamelwoede stopt niet bij de content op het scherm. Fabrikanten en hun advertentiepartners combineren de ACR-data met je IP-adres om je exacte geografische locatie te bepalen. Ook registreren ze nauwkeurig het tijdstip waarop je kijkt, hoe lang je zapt, welke apps je opstart en hoe vaak het apparaat aanstaat.

Zelfs de ingebouwde microfoon in de afstandsbediening, bedoeld voor spraakbesturing, kan een privacyrisico vormen als de algemene voorwaarden niet goed zijn gecontroleerd. Al deze losse puzzelstukjes vormen samen een angstaanjagend nauwkeurig profiel van jouw huishouden: je politieke voorkeur (op basis van de nieuwszenders die je kijkt), je gezinssamenstelling en je dagelijkse routine.