Waarschuwing voor WhatsApp-oplichting: De AI controleert alleen onbekenden, niet uw contactpersonen

Op 12 augustus publiceerde Meta een technisch overzicht van Scam Alert, een nieuwe functie voor WhatsApp. Deze functie is bedoeld om gebruikers te waarschuwen voor oplichtingsberichten voordat iemand erin trapt. Het verificatieproces vindt volledig plaats op de telefoon van de gebruiker.

Zodra de functie is ingeschakeld, downloadt WhatsApp een klein AI-model naar het apparaat. Dit model analyseert inkomende berichten en vergelijkt deze met patronen uit gemelde oplichtingspraktijken, dat wil zeggen gespreksverloop en formuleringen die kenmerkend zijn voor bekende oplichtingspraktijken. Hiervoor verlaat geen enkele berichtinhoud de telefoon. End-to-end-versleuteling, waarbij alleen de afzender en de ontvanger de leesbare tekst zien, blijft intact.

Alleen de ontvanger ziet de waarschuwing

Als het model een vermoedelijke poging tot oplichting detecteert, verschijnt er direct een melding in de chat. De afzender wordt hierover niet geïnformeerd. Van daaruit kan de gebruiker de afzender blokkeren, deze melden of het gesprek gewoon voortzetten. WhatsApp meldt niets automatisch aan Meta. Dit gebeurt alleen als de gebruiker actief op „Melden“ tikt.

Alleen berichten van afzenders die niet in het adresboek staan, worden gecontroleerd

Dit is de beperking, en deze wordt vermeld in de beschrijving van Meta zelf. Het model classificeert uitsluitend berichten van afzenders die niet zijn opgeslagen in de contacten van de gebruiker. Berichten van mensen die al in het adresboek staan, worden niet gecontroleerd.

Dit betekent dat, ironisch genoeg, juist de zwendel die het beste werkt, buiten beschouwing blijft. Als het WhatsApp-account van een vriend of familielid wordt gekaapt, is het zwendelbericht afkomstig van een echt, bekend account. Scam Alert geeft in dergelijke gevallen geen waarschuwing. Het geval van een valse app die WhatsApp-accounts kaapt, liet zien hoe een dergelijke overname in zijn werk gaat. Zelfs het schokkende telefoontje met een gekloonde stem omzeilt deze controle, omdat het helemaal niet via WhatsApp verloopt.

Markeer het één keer als betrouwbaar, en u ziet nooit meer een waarschuwing

Als u denkt dat een waarschuwing onterecht is, kunt u de chat als betrouwbaar markeren. De waarschuwing verdwijnt dan definitief voor dat contact. Dit is handig, maar het is ook de zwakke plek: dit is precies het soort beslissing dat u onder druk neemt wanneer een ervaren oplichter al een gesprek op gang heeft gebracht. Iedereen die de chat op deze manier markeert, kan ook vrijwillig de laatste vijf ontvangen berichten naar WhatsApp verzenden.

Ontworpen met het oog op verifieerbaarheid

Wat transparantie betreft, gaat Meta verder dan gebruikelijk. Elke modelversie wordt samen met de bijbehorende checksum vastgelegd in een openbaar register voordat deze wordt geïmplementeerd. De handtekening is afkomstig van Cloudflare; Meta beschikt niet over de hiervoor benodigde sleutel. De modelgewichten worden gepubliceerd, zodat onderzoekers kunnen verifiëren of het model daadwerkelijk alleen oplichting detecteert. Gebruikers kunnen zelf onder „Account“ > „Informatie opvragen“ > „Activiteit oplichtingswaarschuwingen“ een logboek vinden waarin wordt weergegeven welke berichten zijn gecontroleerd en welke modelversie op dat moment actief was.

Statistieken over de frequentie waarmee waarschuwingen zijn afgegeven en hoe gebruikers hierop hebben gereageerd, worden verwerkt in geïsoleerde computeromgevingen. Voordat Meta deze gegevens inziet, worden ze geaggregeerd en geanonimiseerd, zodat er geen conclusies kunnen worden getrokken over individuele gebruikers.

Het is nog niet beschikbaar

Scam Alert draait momenteel als onderdeel van een beperkte bètaversie, naast het bug bounty-programma van Meta. Het bedrijf heeft nog geen datum bekendgemaakt voor de volledige lancering, noch de landen waar de functie beschikbaar zal zijn. Over Duitsland is tot nu toe nog geen mededeling gedaan. Tot die tijd geldt de oude regel: als u een verzoek om geld ontvangt of een zogenaamd nieuw telefoonnummer, neem dan via een tweede kanaal contact op met de betreffende persoon, bij voorkeur door het oude nummer te bellen. Als u wilt weten hoe snel een account kan worden gehackt, zelfs zonder wachtwoord, lees dan het rapport over de gestolen sessiecookie.