Hoe oplichters de identiteit van profielen op Instagram stelen om nepadvertenties op Facebook aan te prijzen

De laatste weken duiken ze weer regelmatig op in de tijdlijn van vele Facebookgebruikers: advertenties die wel erg aanlokkelijk zijn. Zo zou zowel Coolblue als Bax-shop luidsprekers van het merk Marshall weggeven: Coolblue voor net geen tien euro en Bax-shop zelfs voor maar 2 euro. Decathlon zou dan weer zo maar voor niets tenten weggeven. 

De link bij de advertenties leidt echter niet naar een website met URL van een van deze bedrijven. Een webpagina van een bedrijf zal altijd een URL hebben van het bedrijf zelf, bij Coolblue is dat 'coolblue.be'. Bij deze nepadvertenties wordt echter vaak gebruik gemaakt van webdiensten als Tinyurl , die een URL afkorten. Dit is een manier om de echte URL van een pagina te verbergen en te verhullen waar de link naartoe leidt.

Deze advertenties zijn dan ook niet afkomstig van de bedrijven zelf, maar zijn het werk van oplichters. De link in de (ondertussen verdwenen) nepadvertentie van Bax-shop leidt bijvoorbeeld naar een pagina waar de luidspreker te koop zou zijn, maar nergens op de pagina of in de URL nog een verwijzing naar Bax-shop te vinden is. Daar moet wie de luidspreker wil kopen, haar, zijn of hun bankgegevens achterlaten. Dit levert echter geen nieuwe luidspreker op, maar vaak een abonnement en veel geldverlies. 

Nepadvertenties zijn niet nieuw op Facebook: in het verleden schreef VRT NWS al over gelijkaardige oplichting met Lego op het platform. Oplichters maken gebruik van de reputatie van een bekend merk om slachtoffers naar een website te leiden waar ze dan hun bankgegevens moeten achterlaten. Wat verandert, is dat de oplichters steeds gewiekster te werk gaan en het moeilijker wordt om te weten wanneer een aanbieding echt is of niet. 

Bij deze nepadvertenties gaat het vaak om een Facebookpagina die nog niet zo lang geleden is aangemaakt en niet zo veel volgers heeft. Visueel lijkt de pagina inderdaad op een officiële pagina van bijvoorbeeld Coolblue. Het logo en de hoofdingsafbeelding klopt, maar vooral: meerdere mensen reageren onder de advertentie om te zeggen dat het hen gelukt is om het beloofde product te bemachtigen. 

Het lijkt iets wat mensen die twijfelen, over de streep zou kunnen trekken: meerdere accounts bevestigen onder de advertentie dat ze succesvol het product ontvangen hebben. Het lijken echte gesprekken, waarin praktische en zelfs argwanende vragen  gesteld en beantwoord worden. Het enige probleem: deze mensen bestaan niet. Of beter: ze bestaan wel, maar weten niet dat hun gegevens gebruikt worden voor oplichting. 

VRT NWS onderzocht de profielen die reageren onder dergelijke promoties en kwam tot de conclusie dat ze (bijna) allemaal nep zijn. Als we doorklikken op de profielen, lijkt het in eerste instantie om echte mensen te gaan. 

Paulus Miller  is een profiel dat zowel reageerde op de promotie van CoolBlue  als die van Bax-Shop  om te zeggen dat hij tevreden is over hoe hij via de promoties een luidspreker bemachtigd heeft. 

'Paulus ' post op verschillende momenten foto’s van zichzelf met zijn partner, terwijl hij aan het fietsen is of op een trouwfeest. Het lijkt dan ook dat hij echt bestaat. Wie oplet, ziet echter dat bij elke foto naast de datum een klok staat, wat erop wijst dat het bericht op een ander moment is toegevoegd dan de datum aangeeft. Door met de muis over het kloksymbool te gaan, kan je zien wanneer het bericht echt geplaatst werd. In het geval van Paulus Miller blijken alle berichten op dezelfde dag geplaatst te zijn. Het hele profiel werd dus in één dag gecreëerd. 

Nochtans tonen de foto’s wel telkens dezelfde persoon in verschillende situaties. Zijn die dan nep? Neen. Door details van de foto’s te bestuderen en gebruik te maken van beeldzoekmachines ontdekt VRT NWS dat de man in de foto’s wel degelijk bestaat. Het gaat hier echter helemaal niet om Paulus Miller uit Oostende, maar eigenlijk om Robin Verboven uit Ekeren. 

De foto’s die het profiel van Paulus Miller kleuren, zijn allemaal terug te vinden op het Instagramprofiel  van Robin Verboven. Voor het profiel van Paulus Miller werden niet enkel de foto's van Verboven, maar zelfs de bijschriften van de foto's overgenomen.

VRT NWS sprak met Robin Verboven die zich van geen kwaad bewust was. "Ik was wel geschrokken. Het is een raar gevoel te weten dat mensen mijn foto's gebruiken zonder dat ik ervan weet."

Dat gebruik wordt gemaakt van nepprofielen verbaast privacyexpert Herman Maes niet. "Met deze profielen en reacties creëert men een vorm van 'social proof'-oplichting, je laat met allemaal valse profielen weten dat mensen gewonnen hebben en zorgt voor een post met veel likes en reacties." 

Waarom net zijn foto's gebruikt werden, weet Verboven ook niet. "Ik ben niet bekend, dus is het gek dat ze juist mijn foto's gebruiken." Hij zet af en toe zijn Instagramprofiel op openbaar. Op dat moment hebben de oplichters waarschijnlijk zijn foto's gestolen om de fictieve Paulus Miller te creëren. 

"Voor deze valse profielen kan men inderdaad de foto's en gegevens van iemand anders misbruiken", aldus Maes, "maar met artificiële intelligentie is dat intussen zelfs niet meer nodig. Als je nu voor een vals profiel een foto wil van bijvoorbeeld een kindje op vakantie, kan je dat laten genereren en wordt dat gewoon automatisch voor jou gemaakt." 

De advertenties die VRT NWS vond, verdwijnen over het algemeen wel weer redelijk snel. In de advertentiebibliotheek van Meta is te zien dat vele van deze advertenties weer verwijderd worden, omdat ze “niet voldoen aan de advertentierichtlijnen”. Maar zo snel als Meta de advertenties verwijdert, zo snel komen er ook weer nieuwe bij, vaak met dezelfde nepprofielen. 

"In de gebruikersvoorwaarden van Meta staat dat het verboden is om iemands identiteit te stelen en dat ze schadelijke accounts verwijderen", aldus Sofie Royer, onderzoeksexpert computerrecht aan de KU Leuven en gastprofessor aan de UAntwerpen. "Volgens hun cijfers zou 4 procent van alle Facebookaccounts wereldwijd vals zijn. Meta publiceert ook cijfers van hoeveel accounts ze verwijderen per kwartaal en in het eerste kwartaal van dit jaar zouden dat er 631 miljoen zijn

De Europese Digitale Dienstenwet (DSA) die vorig jaar in werking is getreden en waar Meta ook onder valt, geeft zelfs deze nepaccounts als voorbeeld van illegale inhoud waar tegen opgetreden moet worden. Het bedrijf is volgens Royer dus verplicht om maatregelen te nemen om de risico's te beperken. "Als er een vermoeden is dat het om een vals profiel gaat, moet Meta dat aangeven en moet er voor gebruikers zelf ook een toegankelijke manier zijn om die accounts te rapporteren. Ze moeten die melding zo snel mogelijk afhandelen en dat vals profiel ook verwijderen. Als Meta dit niet doet, kunnen er sancties volgen onder de vorm van geldboetes die hoog kunnen oplopen."

Of Meta dit ook voldoende doet, is moeilijk te zeggen volgens Royer. “We kunnen nog niet zeggen dat Meta die regels niet respecteert, dat is wat voorbarig, maar er zijn wel aanwijzingen dat het bedrijf het niet doet. De Europese Commissie is een onderzoek gestart naar aanloop van de Europese verkiezingen. Volgens de Commissie is het systeem om illegale inhoud en die nepaccounts te signaleren niet gebruikersvriendelijk genoeg en dus niet conform de DSA." 

Wiens identiteit gestolen wordt, dient volgens Royer best klacht in bij de politie. "De identiteit van iemand overnemen en zijn of haar foto’s en naam gebruiken is privacyschending en dat is strafbaar. Je dient best klacht in met zoveel mogelijk bewijsmateriaal. Als het dan tot een rechtszaak komt, moet je aantonen dat je schade hebt geleden en kun je een schadevergoeding vragen, al is dat vaak een symbolisch bedrag. Ook kun je het valse profiel melden op het platform zelf en komt er een intern onderzoek." 

Robin Verboven laat weten dat hij ondertussen tientallen keren heeft geprobeerd om het nepprofiel van Paulus Miller, dat zijn foto's gebruikt, te rapporteren bij Facebook. Het bedrijf aanvaardt de klacht echter niet omdat de gebruiksvoorwaarden volgens hen niet zouden geschonden zijn. VRT NWS contacteerde Meta voor een reactie, maar kreeg geen antwoord.