De browserextensie Privacy Badger is ontwikkeld om gebruikers tegen trackers te beschermen, maar een kernonderdeel van de extensie maakte het juist eenvoudiger voor trackers om gebruikers online te volgen. Dat ontdekten onderzoekers van Google. De Amerikaanse burgerrechtenbeweging EFF, die de extensie ontwikkelde, heeft aanpassingen aangekondigd.

Een verschil met veel andere privacy-extensies die trackers blokkeren is dat Privacy Badger niet met blocklists werkt of interactie van gebruikers vereist. De privacyplug-in kijkt namelijk naar het gedrag van trackers op websites. Zodra Privacy Badger ziet dat hetzelfde third-party domein de gebruiker op drie verschillende websites volgt besluit het die te blokkeren.

Doordat Privacy Badger eerst moet leren welke trackers de gebruiker tegenkomt voordat het die kan blokkeren, dachten veel gebruikers dat de plug-in niet werkte. In het begin worden er namelijk geen trackers en advertenties geblokkeerd. Twee jaar geleden verscheen er een nieuwe versie die standaard allerlei trackers blokkeert, zodat gebruikers weten dat die werkt.

Onderzoekers van Google ontdekten dat het zelflerende onderdeel van Privacy Badger ook de achilleshiel van de extensie is. Een aanvaller zou namelijk de manier kunnen manipuleren waarop Privacy Badger reageert, in wat het blokkeert en toestaat. Dit zou kunnen worden gebruikt om gebruikers, via een vorm van fingerprinting, te identificeren, of informatie te achterhalen over de websites die ze bezoeken.

Wanneer een gebruiker van Privacy Badger een website zou bezoeken had een tracker een script kunnen uitvoeren dat ervoor zorgde dat de extensie een unieke combinatie van domeinen zou blokkeren. Wanneer de tracker ook op andere websites actief was kon die de fingerprint van de gebruiker uitlezen en hem zo op deze andere websites volgen. Het was ook mogelijk voor een tracker om te achterhalen of de gebruiker bepaalde websites had bezocht, ook al draaide er geen code van de tracker op deze websites.

De EFF heeft geen bewijs gevonden dat er misbruik van de feature is gemaakt, maar heeft besloten om die uit voorzorg standaard uit te schakelen. Zodoende worden bij alle gebruikers dezelfde trackers geblokkeerd. Om trackers te blokkeren maakt Privacy Badger voortaan gebruik van een lijst met bekende trackingdomeinen. Deze lijst wordt periodiek bijgewerkt. Gebruikers kunnen het zelflerende onderdeel nog wel zelf inschakelen. Volgens de EFF gaat het hier om een acceptabele afweging die gebruikers voor zichzelf kunnen maken.