Discord krijgt kritiek op leeftijdscontrole na datalek met 70.000 ID's

Discord krijgt veel kritiek nadat het bedrijf aankondigde dat alle gebruikers binnenkort hun leeftijd moeten verifiëren om toegang te krijgen tot content voor volwassenen. Dit moet gebeuren door het delen van video-selfies of het uploaden van officiële identiteitsbewijzen.

Volgens Discord maakt het platform gebruik van AI-technologie die de leeftijd verifieert op het apparaat van de gebruiker, door ofwel de gezichtsstructuur te analyseren of door een selfie te vergelijken met een identiteitsbewijs. Discord benadrukt dat, hoewel officiële ID's buiten het apparaat worden gecontroleerd, de selfie-gegevens het apparaat van de gebruiker nooit verlaten. Beide vormen van data worden direct verwijderd nadat de leeftijd is geschat.

In een blog bevestigde Discord dat een "gefaseerde wereldwijde uitrol" begin maart zal starten. Op dat moment worden alle gebruikers wereldwijd standaard ingesteld op ervaringen die "geschikt zijn voor tieners".

Om gevoelige media te ontmaskeren of toegang te krijgen tot kanalen met leeftijdsbeperkingen, zullen de meeste gebruikers waarschijnlijk het proces voor leeftijdsschatting van Discord moeten doorlopen. Volgens Discord hoeven de meeste gebruikers hun leeftijd slechts één keer te verifiëren, maar sommige gebruikers "kunnen worden gevraagd om meerdere methoden te gebruiken als er meer informatie nodig is om een leeftijdsgroep toe te wijzen."

Wantrouwen na vorig datalek

Op sociale media protesteerden bezorgde Discord-gebruikers tegen deze maatregel. Zij betwijfelen of Discord te vertrouwen is met hun meest gevoelige informatie, nadat gegevens van de leeftijdsverificatie onlangs zijn gelekt. In oktober stalen hackers de identiteitsbewijzen van 70.000 Discord-gebruikers van een externe dienst die Discord eerder vertrouwde voor leeftijdsverificatie in het Verenigd Koninkrijk en Australië.

Op dat moment vertelde Discord gebruikers dat de hackers hoopten de gestolen gegevens te gebruiken om "een financieel losgeld van Discord af te persen". In oktober waarschuwde Dan Goodin, Senior Security Editor bij Ars, samen met anderen, dat "het beste advies voor mensen die ID's aan Discord of een andere dienst hebben verstrekt, is om ervan uit te gaan dat deze zijn gestolen of binnenkort zullen worden gestolen door hackers en te koop worden aangeboden of worden gebruikt in afpersingsscams."

Gebruikers vrezen nu dat Discord voor kwaadwillenden alleen maar een groter doelwit wordt naarmate er wereldwijd meer gevoelige informatie wordt verzameld.

Het is dan ook geen verrassing dat honderden Discord-gebruikers op Reddit de beslissing om de leeftijdsverificatie wereldwijd uit te breiden bekritiseerden, kort nadat The Verge het nieuws bracht. Op een PC-gaming subreddit die alternatieve apps voor gamers bespreekt, schreef één gebruiker: "Verdomme, Discord heeft al één ID-lek gehad, waarom in godsnaam zou iemand zich daarna nog verifiëren?"

"Dit is hoe Discord sterft," verklaarde een andere gebruiker. "Serieus, het uploaden van een officieel identiteitsbewijs naar een extern bedrijf is gewoon vragen om identiteitsfraude op wereldwijde schaal."

Veel gebruikers zijn eveneens huiverig voor het delen van gezichtsscans. Op de Discord-app subreddit zwoeren sommige gebruikers dat ze nooit selfies of ID's zouden indienen, uit angst dat lekken onvermijdelijk zijn en uit vermoeden dat Discord privacyrisico's bagatelliseert terwijl data-harvesting wordt toegestaan.

Wie heeft toegang tot de gegevens voor de leeftijdscontrole?

Het systeem van Discord is bedoeld om ervoor te zorgen dat alleen gebruikers toegang hebben tot hun gegevens voor de leeftijdscontrole, die volgens Discord hun telefoon nooit verlaten.

Het bedrijf hoopt gebruikers te overtuigen dat het de beveiliging heeft aangescherpt na het lek door samen te werken met k-ID, een steeds populairdere provider van leeftijdscontrole die ook wordt gebruikt door sociale platforms van Meta en Snap.

Sommige Discord-gebruikers op Reddit zijn hier echter niet overtuigd en zijn zelfs zo ver gegaan om het privacybeleid van k-ID te analyseren om precies te begrijpen hoe de leeftijd wordt geverifieerd zonder dat gegevens het apparaat verlaten.

"De formulering is vrij onduidelijk en inconsistent, zelfs als je dieper in het privacybeleid van k-ID duikt," speculeerde een Redditor. "Het lijkt erop dat ID-scans worden geüpload naar k-ID-servers en dat zij deze verwijderen, maar ze noemen ook het gebruik van 'vertrouwde derde partijen' voor verificatie, die ze mogelijk wel of niet verwijderen." Deze gebruiker gaf aan geen geruststelling te vinden in de privacyregels van beide bedrijven, en merkte op dat "overal in de keten staat: 'wij verzamelen uw gegevens niet, we sturen ze door naar iemand anders...'."

Om de zorgen van gebruikers beter te begrijpen, heeft Ars de privacyregels bekeken en merkte op dat k-ID stelt dat zijn tool voor "gezichtleeftijdsschatting" wordt geleverd door een Zwitsers bedrijf genaamd Privately.

"Wij zien in feite geen gezichten die via deze oplossing worden verwerkt," stelt het beleid van k-ID.

Dit deel lijkt vaag, aangezien Privately niet expliciet is inbegrepen in het "wij" in die uitspraak. Verderop in het beleid staat echter duidelijker dat "noch k-ID, noch zijn serviceproviders biometrische informatie van gebruikers verzamelen wanneer zij met de oplossing communiceren. k-ID ontvangt en bewaart alleen het resultaat van het proces van de leeftijdscontrole." In die sectie lijken "serviceproviders" te verwijzen naar partners zoals Discord, die de leeftijdscontroles van k-ID integreren, in plaats van derde partijen zoals Privately die de controle daadwerkelijk uitvoeren.

Een woordvoerder van k-ID vertelde Ars dat "de Facial Age Estimation-technologie volledig in realtime op het apparaat van de gebruiker draait tijdens de verificatie. Dat betekent dat er geen video of afbeelding wordt verzonden, en de schatting gebeurt lokaal. De enige gegevens die het apparaat verlaten, zijn een pass/fail van de leeftijdsgrens, wat Discord ontvangt (en enkele prestatiemetriek die geen persoonlijke gegevens bevat)."

De woordvoerder van k-ID voegde toe dat geen enkele derde partij persoonlijke gegevens opslaat die tijdens de leeftijdscontroles worden gedeeld. "k-ID ontvangt geen persoonlijke gegevens van Discord bij het uitvoeren van de leeftijdsverificatie. Dit is een bewuste ontwerpkeuze gebaseerd op principes van gegevensbescherming en dataminimalisatie. Er is geen opslag van persoonlijke gegevens door k-ID of andere derde partijen, ongeacht de gebruikte methode voor leeftijdsverificatie."

Op de website van Privately is iets meer informatie te vinden over hoe de on-device leeftijdsschatting werkt, wat waarschijnlijk meer geruststelling biedt dat gegevens de apparaten niet verlaten.

Privately merkt op dat hun diensten zijn ontworpen om gegevensverzameling te minimaliseren en anonimiteit prioriteit te geven om te voldoen aan de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie. "Er worden geen biometrische of persoonlijke gegevens van gebruikers vastgelegd of verzonden," stelt de website van Privately, waarbij wordt opgesomd dat hun "geheime ingrediënt" de mogelijkheid is om zeer performante modellen op het apparaat of in de browser van de gebruiker te draaien voor een privacy-centrische oplossing.

Het privacybeleid van het bedrijf biedt iets meer detail en merkt op dat het bedrijf het gebruik van de cloud vermijdt bij het draaien van AI-modellen op lokale apparaten.

"Onze technologie is gebouwd met on-device edge-AI die dataminimalisatie faciliteert om de privacy en gegevensbescherming van de gebruiker te maximaliseren," luidt het privacybeleid. "De technologie op basis van machine learning die we gebruiken (voor leeftijdsschatting en beveiliging) verwerkt de gegevens van de gebruiker op hun eigen apparaten, waardoor het voor ons of onze partners niet nodig is om persoonlijke gegevens van gebruikers te exporteren naar enige vorm van cloudservices."

Daarnaast stelt het beleid dat "onze technologische oplossingen zo zijn gebouwd dat ze grotendeels op gebruikersapparaten werken en het verzenden van persoonlijke gegevens van de gebruiker naar cloudservices vermijden. Hiervoor gebruiken we speciaal aangepaste machine learning-modellen die kunnen worden geïmplementeerd of gedownload op het apparaat van de gebruiker. Dit voorkomt de noodzaak om gebruikersgegevens buiten het apparaat te verzenden en te bewaren om de dienst te kunnen leveren."

Tot slot legde Privately uit dat het ook een "double blind"-implementatie hanteert om te voorkomen dat de oorsprong van de verzoeken voor leeftijdsschatting bekend is. Dit zou ervoor zorgen dat Privately alleen het resultaat van de leeftijdscontroles kent en het resultaat niet kan koppelen aan een gebruiker op een specifiek platform.

Een woordvoerder van Discord zei naar aanleiding van de reacties dat "Discord en onze partners voor leeftijdsverificatie geen persoonlijke identiteitsdocumenten of video-selfies van gebruikers permanent opslaan. Identiteitsdocumenten, inclusief selfies, worden verwijderd zodra de leeftijdsgroep van een gebruiker is bevestigd, en de selfie-video die wordt gebruikt voor gezichtleeftijdsschatting verlaat nooit hun apparaat."

"We onderzoeken ook andere leveranciers en zullen transparant zijn naar gebruikers toe als de gegevenspraktijken van leveranciers verschillen," aldus de woordvoerder van Discord. "We zullen de privacy van de gebruiker voorop blijven stellen bij het overwegen van extra methoden in de toekomst. Ook auditeren we regelmatig onze systemen van derden om ervoor te zorgen dat ze voldoen aan onze beveiligings- en privacynormen."

Discord verwacht gebruikers te verliezen

Sommige Discord-gebruikers worden mogelijk nooit gevraagd hun leeftijd te verifiëren, zelfs niet als ze proberen toegang te krijgen tot content met leeftijdsbeperkingen. Savannah Badalich, global head of product policy bij Discord, vertelde The Verge dat Discord "ook een model voor leeftijdsinferentie uitrolt dat metadata analyseert, zoals de soorten games die een gebruiker speelt, hun activiteit op Discord en gedragssignalen zoals tekenen van werktijden of de hoeveelheid tijd die ze op Discord doorbrengen."

"Als we er een hoge mate van zekerheid over hebben dat ze een volwassene zijn, hoeven ze niet door de andere flows voor leeftijdsverificatie," zei Badalich.

Badalich bevestigde dat Discord er rekening mee houdt dat sommige gebruikers het platform zullen verlaten vanwege deze update, maar suggereerde dat "we andere manieren zullen vinden om gebruikers terug te halen."

Op Reddit klaagden Discord-gebruikers dat leeftijdsverificatie gemakkelijk te omzeilen is, waardoor volwassenen gevoelige informatie moeten delen zonder dat kinderen effectief worden geweerd van schadelijke inhoud. In Australië, waar het beleid van Discord als eerste werd uitgerold, claimden sommige kinderen dat Discord nooit eens probeerde hun leeftijd te schatten, terwijl anderen ontdekten dat ze k-ID gemakkelijk konden misleiden met AI-video's of door hun uiterlijk aan te passen om ouder te lijken. Een tiener এমন meisje vertrouwde op valse wimpers om de controle te passeren, terwijl een 13-jarige jongen werd ingeschat op boven de 30 jaar nadat hij zijn gezicht vertrok om rimpeliger te lijken.

Badalich vertelde The Verge dat Discord er niet van uitgaat dat de tools perfect werken, maar snel optreedt om omzeilingen te blokkeren, zoals tieners die de fotomodus van Death Stranding gebruiken om leeftijdsfilters te omzeilen. Er blijven echter vragen bestaan over de nauwkeurigheid van het model voor leeftijdsschatting van Discord, in het bijzonder bij minderjarigen.

Het is opmerkelijk dat Privately alleen claimt dat zijn technologie "bewezen nauwkeurig is binnen 1,3 jaar voor gezichten van 18- tot 20-jarigen, ongeacht het geslacht of de etniciteit van de klant." Deskundigen vertelden Ars vorig jaar echter dat gebrekkige leeftijdsverificatietechnologie er nog steeds vaak mee worstelt om minderjarigen van volwassenen te onderscheiden, vooral bij het verschil tussen bijvoorbeeld een 17- en 18-jarige.

Opvallend is dat het eerdere schandaal van Discord plaatsvond nadat hackers identiteitsbewijzen hadden gestolen die gebruikers hadden gedeeld als onderdeel van het beroepsproces om een onjuiste leeftijdsschatting te herstellen. Beroepen zouden het meest kwetsbare deel van dit proces kunnen blijven, aldus het rapport van The Verge. Badalich bevestigde dat een externe leverancier de beroepen zal beoordelen, waarbij de enige geruststelling voor gebruikers is dat ID's die tijdens beroepen worden gedeeld "snel worden verwijderd — in de meeste gevallen onmiddellijk na bevestiging van de leeftijd."

Op Reddit blijven ontevreden Discord-fans wachten op grote veranderingen. Een gefrustreerde gebruiker suggereerde dat "corporaties zoals Facebook en Discord een gemakkelijk te passeren, zo goedkoop mogelijke, minimale verificatie zullen implementeren die net voldoet aan de wet, om zichzelf in te dekken tegen een rechtszaak," terwijl ze gebruikers dwingen te vertrouwen dat hun gegevens voor de leeftijdscontrole veilig zijn.

Een andere gebruiker grapte dat ze eerder bereid zou zijn te vertrouwen dat selfies het apparaat van een gebruiker nooit verlaten als Discord "bereid zou zijn miljoenen te betalen aan elke gebruiker" wiens "scan het apparaat toch verlaat."