Het e-mailwachtwoord dat sommige Facebookgebruikers bij het registreren van een account hebben opgegeven mag dan niet zijn opgeslagen, de sociale netwerksite heeft het wel gezien, zo stelt de Amerikaanse burgerrechtenbeweging EFF.

Deze week werd bekend dat Facebook aan sommige nieuwe gebruikers het wachtwoord van hun e-mailaccount vroeg. Het ging onder andere om gebruikers die bepaalde e-mailproviders gebruikten, waaronder Yandex en GMX. Het Facebookverzoek gaf gebruikers het idee dat ze hun wachtwoord moesten opgeven, omdat ze anders geen account konden aanmaken. Na ophef in de media besloot Facebook met de werkwijze te stoppen.

Al voor de berichtgeving in de media was de EFF met de werkwijze van de sociale netwerksite bekend en besloot verschillende tests uit te voeren. Zo analyse de burgerrechtenbeweging het verkeer en zag dat het opgegeven e-mailadres en e-mailwachtwoord direct naar Facebook werden gestuurd. "Facebook mag ons wachtwoord dan niet hebben opgeslagen, het heeft het zeker wel gezien", zegt Bennett Cyphers van de EFF. Daarnaast bleek dat gebruikers hun e-mailwachtwoord helemaal niet hoefden te geven, aangezien Facebook ook een traditionele bevestigingsmail naar de gebruiker had gestuurd.

Beveiligingsexperts hadden grote kritiek op Facebook, omdat gebruikers juist wordt geleerd om hun wachtwoord alleen op de website in te voeren waar ze het hebben aangemaakt. De vraag is dan ook waarom Facebook toch deze werkwijze hanteerde. Het werkelijke motief was het uitlezen van de contacten van de e-mailgebruiker, stelt Cyphers. Zodra het e-mailwachtwoord was opgegeven probeerde Facebook de contacten van het e-mailadres van de gebruiker te importeren. De maatregel had dan ook niets met security te maken, maar ging om de data van gebruikers, zo laat hij weten.

Ook Cyphers hekelt de werkwijze, omdat het algemeen beveiligingsadvies ondermijnt. "Facebook, in het eerste contact met een legioen van nieuwkomers, gooit dit advies uit het raam. Deze interactie, en Facebooks stelling dat er niets vreemds aan is, conditioneert gebruikers om gephisht te worden. Voor een bedrijf dat voor veel mensen de primaire portaal tot het internet is, is dit gewoon onverantwoord", aldus de EFF-medewerker.

Cyphers haalt ook uit naar de opzet van de pagina, die gebruikers het idee gaf dat ze hun wachtwoord moesten afstaan, terwijl dat achteraf niet het geval was. "Dit is erger dan een typisch 'dark pattern' dat misbruik maakt van de neiging van mensen om de kleine lettertjes niet te lezen. Het zorgt voor ongewenst gedrag dat zelfs de meest technische gebruikers niet hadden kunnen voorspellen."

Afsluitend stelt Cyphers dat bij elke nieuwe vertrouwensbreuk duidelijk wordt wat al bekend was. "Het bedrijf kan niet aan zijn eigen lot worden overgelaten en bestaande toezichthouders hebben niet genoeg gedaan." De EFF-medewerker vindt dat de Amerikaanse toezichthouder FTC een duidelijke boodschap aan Facebook en de rest van surveillance-gedreven techwereld moet geven dat het op misleidende wijze verzamelen van data ernstige gevolgen heeft.