Beveiligingsonderzoekers hebben een techniek ontwikkeld waarmee het eenvoudig is om de identiteit van gebruikers van sociale netwerksites zoals Hyves en LinkedIn te achterhalen. De onderzoekers van het International Secure Systems Lab kijken hiervoor naar de groepen van een sociaal netwerk waar de gebruiker lid van is. Vaak blijkt dat slechts een handjevol gebruikers, en in het beste scenario één iemand, van dezelfde groepen lid is. Vervolgens maakten de onderzoekers een scenario, waarbij een kwaadaardige website de echte naam en identiteit van een bezoeker wil achterhalen.

De eerste stap van de aanval is het doorzoeken van de groepen van een sociaal netwerk om de leden van de verschillende groepen in kaart te brengen. Dit is de database waarmee een "groep vingerafdruk" per gebruiker is te maken. Bij de tweede fase steelt de website de geschiedenis van de browser om te zien of er links naar bepaalde groepen zijn. Deze vingerafdruk is vervolgens met de al bestaande database te vergelijken, en zal uiteindelijk tot het de-anonimiseren van de bezoeker leiden. Zelfs als unieke identificatie niet mogelijk is, kan de aanval nog steeds de mogelijke groep van kandidaten waar het slachtoffer toe behoort verkleinen.

Gevolgen
Als proof-of-concept voerden de onderzoekers de aanval op sociale netwerksite XING uit, maar alle webapplicaties waarbij gebruikers een unieke link hebben zijn kwetsbaar. In totaal werden de zevenduizend publieke groepen van XING doorzocht en zo'n 1,8 miljoen leden gevonden die van tenminste één groep lid waren. Al deze gebruikers lopen risico dat hun identiteit is te achterhalen. Voor gebruikers van XING hebben de onderzoekers een website online gezet, die de identiteit van de bezoeker de-anonimiseert.

In de komende weken hopen de onderzoekers hun werk af te ronden, maar een voorlopig rapport is al online verschenen. Volgens de onderzoekers heeft hun aanval vele gevolgen. "De aanval vereist weinig moeite en heeft de potentie om miljoenen geregistreerde gebruikers van sociale netwerksites te raken."