Spyware

Spyware is de naam voor computerprogramma's (of delen daarvan) die informatie vergaren over een computergebruiker en deze doorsturen naar een externe partij. Het doel van spyware is meestal om geld te verdienen. De term komt van het Engelse woord spy, dat spion betekent, en het achtervoegsel ware, dat aangeeft dat het om software gaat.

De opkomst van spyware is mede het gevolg van het illegaal kopiëren van software. De programmamakers zoeken, nu ze minder inkomsten uit verkopen halen, naar andere manieren om geld te verdienen. Het toevoegen van spyware aan een programma is een manier. Zo zijn er bijvoorbeeld twee versies van het peer-to-peerprogramma Kazaa: de ene kost geld, de andere bevat spyware. Naast deze commerciële vorm van spyware bestaat er ook een vorm met meer criminele doeleinden.

Meestal weten gebruikers niet van de spywarefunctie van een programma. Er zijn echter varianten waarbij gebruikers wel over de spywarefunctionaliteiten ingelicht worden. Vaak vindt dit dan op een listige wijze in de algemene voorwaarden plaats. Detectieprogramma's kunnen gebruikt worden om de spyware na installatie te ontdekken en eventueel te verwijderen. Deze werking is anders dan bij virusscanners. Deze voorkomen namelijk installatie van ongewenste programma's. Men moet wel opletten voor slechte, valse en malafide spyware-detectieprogramma's. Een aantal van die programma's werkt slecht, of probeert de gebruiker aan te zetten tot het kopen van een betaalde variant, door middel van het geven van valse positieven, of door zelf spyware of adware te installeren. Een goed beeld wordt gegeven door deze lijst (Engelstalig).

In de laatste jaren is spyware een van de grootste gevaren geworden voor computers waarop Microsoft Windows gebruikt wordt. Dit geldt speciaal voor gebruikers van Internet Explorer, vanwege de nauwe integratie van deze browser met het Windows-besturingssysteem.

Spyware en andere malwarevarianten

Spyware moet niet verward worden met andere soorten malware, ook al zijn er vaak wel bepaalde overlappingen. Het specifieke aan spyware is dat het gaat om spioneren: het aftappen van gegevens. Meestal wordt de informatie gebruikt voor reclamedoeleinden.

Adware laat reclameboodschappen aan de gebruiker zien. Deze kunnen door middel van spyware op de gebruiker afgestemd zijn, maar dat is niet altijd het geval. Adware bevat dus soms spywarefunctionaliteit maar niet altijd.

Ook phishing is anders dan spyware. Door misleidende informatie proberen de phishers de gebruikers te laten denken dat ze met een echt bedrijf te maken hebben (bijvoorbeeld een bank) in plaats van een neppagina. Vervolgens vragen de phishers of de gebruikers gegevens aan hen verstrekken. Deze werkwijze is dus anders dan bij spyware.

Een Trojaans paard is software die zonder medeweten van de gebruiker op zijn computer geïnstalleerd wordt en op die computer handelingen kan gaan verrichten. De handelingen die verricht worden, worden door het programma zelf aangestuurd. Deze handelingen kunnen onder andere bestaan uit het aanrichten van schade. Deze malwarevariant doet dus meer dan het enkel vergaren van gegevens.

Een keylogger registreert toetsaanslagen op een computer en kan de vergaarde gegevens doorsturen naar een andere computer. Dit is vaak een vorm van spyware.

Een autodialer is een programma dat automatisch het inbelnummer op een computer verandert. Vaak wordt dit veranderd in een nummer waarvoor een hoog bedrag per minuut betaald moet worden. Dit is geen spyware omdat het geen gegevens verzamelt.

Spyware en virussen

Spywareprogramma's lijken in zekere zin op computervirussen. Beide worden geïnstalleerd zonder dat de gebruiker er iets van weet en beide hebben nadelige gevolgen voor de gebruiker. Ook veroorzaken beide vaak instabiliteit van het besturingssysteem. Maar er zijn toch wat verschillen.

Een virus kopieert zichzelf: het zal proberen andere computers te infecteren. Spyware kopieert zichzelf in het algemeen niet. Virussen verspreiden zichzelf (met hulp van computergebruikers die onvoorzichtig met hun computer omgaan) op een zo onopvallend mogelijke manier om maar niet ontdekt te worden. Spyware wordt verspreid door programma's juist duidelijk aan te prijzen, zodat ze door onwetende gebruikers worden uitgevoerd.

Spyware installeert zichzelf op zo'n manier dat het steeds meestart als de computer gestart wordt, waarbij het processortijd en geheugen gebruikt en het systeem instabiel kan maken.

Spywareprogramma's kunnen bijvoorbeeld bijhouden welke websites er worden bezocht, welke e-mails worden verstuurd, welke programma's geïnstalleerd zijn, enzovoort. Het kan in virussen zitten, maar meestal zit het bijgeleverd bij bepaalde programma's (zoals Bonzi Buddy, CometCursor en Kazaa). Ook bepaalde cookies kunnen als spyware worden beschouwd: iemands surfgedrag over diverse websites kan worden getraceerd als de reclamebanners op die diverse websites vanuit één centrale server worden verzorgd.

Bekende programma's die spyware mee installeren

• Kazaa
• Kazaa lite (minder dan Kazaa weliswaar, maar draait men Spybot Search & Destroy na het installeren van Kazaa Lite, dan vindt deze enige spyware en na verwijdering hiervan door Spybot S&D werkt Kazaa Lite niet meer)
• DivX (behalve voor de betaalde versies en de 'standaard'-versie zonder de encoder)
• eXeem™ (volgens sommige gebruikers gaat eXeem vergezeld van spyware, niet bevestigd)
• Morpheus
• bearshare ( installeert spyware wat allemaal is niet bevestigd )
• Grokster
• Messenger Plus! Live (alleen als men de sponsor installeert)
• BSPlayer (de gratis variant)

Spyware en de wet

Strafbaarheid

Het gebruik van spyware is onder bepaalde omstandigheden strafbaar. Zo is het bij wet verboden om zonder toestemming een computerprogramma op iemands harde schijf te installeren. De juridische term hiervoor is computervredebreuk en staat vermeld in artikel 138a Wetboek van Strafrecht. Een lacune in de wet is dat deze spyware toelaatbaar acht wanneer de algemene voorwaarden melding maken van de spyware — zelfs als dit op een zeer onduidelijke wijze gebeurt. Daarnaast maakt spyware computers instabiel door slecht programmeerwerk. Dit valt onder het strafrechtelijk delict vernieling van geautomatiseerde bestanden door schuld.

Tevens verzamelt spyware persoonsgegevens zonder toestemming, hetgeen in strijd is met de privacywetgeving: 'de Wet bescherming persoonsgegevens'. Ook kan spyware in strijd zijn met artikel 4.1 van 'Het besluit universele dienstverlening en eindgebruikersbelangen'. Deze bepaling luidt als volgt:

1. Een ieder die door middel van elektronische communicatienetwerken toegang wenst te verkrijgen tot gegevens die zijn opgeslagen in de randapparatuur van een abonnee of gebruiker van openbare elektronische communicatiediensten dan wel gegevens wenst op te slaan in de randapparatuur van de abonnee of gebruiker van openbare elektronische communicatiediensten, dient voorafgaand aan de desbetreffende handeling de abonnee of gebruiker:

a. op een duidelijke en nauwkeurige wijze te informeren omtrent de doeleinden waarvoor men toegang wenst te verkrijgen tot de desbetreffende gegevens dan wel waarvoor men gegevens wenst op te slaan en

b. op voldoende kenbare wijze gelegenheid te bieden de desbetreffende handeling te weigeren.

Handhaving

Een gebruiker kan zelf het bedrijf in rechte aanspreken tegen diens handelswijze. Ook is het College Bescherming Persoonsgegevens bevoegd een boete per overtreding op te leggen wanneer de privacywetgeving is overtreden. Daarnaast is de OPTA bevoegd om op te treden en boetes op te leggen. Tot slot is ook het OM belast met de opsporing.

Een struikelblok in de handhaving van de gestelde regels, is dat men meestal niet kan nagaan waar de spyware vandaan komt. In de gevallen waarin dit wel lukt, blijkt meestal het bedrijf buiten Europa gevestigd te zijn, en zullen instanties als het CBP, het OM en de OPTA machteloos staan.

In Europa is enkel één Duitse rechtszaak aangaande spyware bekend (Hertz vs Claria). In de VS zijn meerdere rechtszaken gevoerd met uiteenlopende uitspraken.

De eerste Nederlandse (en Europese) maatregel tegen spyware: OPTA heeft boetes opgelegd van in totaal 1 miljoen euro. Het gaat over de besmetting van 22 miljoen computers. De spyware heet DollarRevenue. Het betreft een overtreding van art. 4.1 van het bovenvermelde besluit. De boetes zijn opgelegd volgens art. 15.4 en art. 15.10 van de Telecommunicatiewet. Een deel van deze boetes moet betaald worden door de directeurs zelf. Door een bezwaarprocedure moeten de boetes pas betaald worden nadat een rechter hierover uitspraak gedaan zal hebben. De verdachten beweren dat het bewijs illegaal werd verzameld. OPTA heeft de namen van de bedrijven en hun directeurs niet bekendgemaakt omdat het niet duidelijk is of OPTA dergelijke informatie openbaar mag maken.