W Social заперечує витік даних, публічні записи верифікації збільшують підозри щодо конфіденційності

W Social заперечує звинувачення у витику даних

W Social, європейська платформа соціальних медіа, яка відкрито запустилася в бета-режимі у червні 2026 року, заперечує витік персональних даних у відкритих базах. Компанія 14 жовтня 2026 року поширила заяву після відкриттєв німецького технологічного журналіста Ґевіна Карльмайєра. Він виявив публічно доступну базу даних, яка містила облікові записи W Social. За словами Карльмайєра, онлайн стало відомим громадянство понад 2500 користувачів, а майже 2000 — повні імена. У окремих випадках також потрапили адреси електронної пошти.

W Social, яка позиціонує себе як мережу, орієнтовану на конфіденційність, і вимагає реальну ідентичність для боротьби з ботами, заявляє, що персональні дані не витікали, немає неавторизованого доступу ani випадкової публікації. Компанія провела консультацію з офіційним органом з захисту даних і зафіксувала оцінку, що за GDPR порушення персональних даних не сталося.

Записи верифікації та AT Protocol

W Social частково визнала публікацію даних користувачів і пояснила, що це випливає з публічної природи AT Protocol. AT Protocol — це базова технологія, розроблена американською компанією Bluesky Social PBC, що стоїть за Bluesky. Коли користувач верифікує обліковий запис, W Social записує запис верифікації на своєму модераторському обліковому записі в AT Protocol. Запис включає статус верифікації, країну видачі паспорта, синтетичну дату народження для вікової категорії та, лише для тих, хто обрав розкрити своє юридичне ім’я — це ім’я.

Відкриття Карльмайєра викликало підозри серед приблизно 55 000 користувачів платформи за даними حزيران. Платформа соціальних медіа We Don't Have Time, орієнтована на захист клімату, запустила онлайн-інструмент перевірки «Have you been Wned?», де користувачі можуть побачити, скільки їхньої персонально ідентифікованої інформації є публічною.

Ризики конфіденційності та критика

Старший дослідник з інформаційної безпеки Cybernews Арас Нзаровський каже, що W Social публічно розміщує імена та прізвища, адреси електронної пошти, громадянство та предполагаємі дати народження. Більшість записів є анонімними і містять лише метадані, такі як ідентифікатори та позначки часу створення або верифікації. Іноді до прізвища додається реальна дата народження, хоча, здається, вона приблизно в шість разів менша.

Нзаровський попереджає, що кіберзлочинці можуть використовувати публічні дані верифікації для доксингу або цілеспрямованого фішингу, персоналізуючи повідомлення за громадянством, віком та ім’ям. Якщо платформи використовують цю інформацію у другому факторі підтвердження ідентичності за телефоном або чатом, витік може спричинити легше захоплення облікових записів. Він також зазначив, що злочинці зазвичай об’єднують дані з кількох витків, тому ця інформація збільшує раніше витіклі дані. Видалення таких даних з децентралізованої системи є складним.

W Social з'явилася на початку 2026 року, і її методи верифікації стали об’єктом критики. Користувачі мають завантажити паспорт або біометричні дані, наприклад селфі, у супутньому додатку під назвою W Identity. Компанія заявляє, що додаток децентралізований, зберігає дані на пристрої користувача, а документи на серверах W видаляються одразу після верифікації. Однак дослідники Cybernews наголошують, що біометричні дані набагато чутливіші і створюють постійний запис ідентичності, який, на відміну від пароля, не можна скинути. W Social стверджує, що публічні дані ніколи не містять фото паспортів, номерів, селфі чи реальних дат народження.

Джерела: Cybernews