De prijzen werden vorige week uitgereikt aan Acar, Zuiderveen Borgesius en hun collega’s van de KU Leuven en het IMDEA Networks Institute. Ze ontvingen de prijs voor hun ontdekking van een tot dan toe onbekende trackingtechniek, waarmee gebruikers ongemerkt en zonder dat ze hiervan op de hoogte worden gesteld, worden gevolgd tussen webbrowsers en mobiele applicaties. Het onderzoek wordt beschreven in hun vorig jaar gepubliceerde artikel (‘Bridges to Self: Silent Web-to-App Tracking on Mobile via Localhost’). Eerder deze zomer ontving het team ook de CNIL-Inria Privacy Award 2026.
Over de Internet Defense Prize en de Distinguished Paper Award
Jaarlijks wordt de Internet Defense Prize uitgereikt aan onderzoek dat het internet op een betekenisvolle manier veiliger maakt. De prijs, die in 2014 in het leven is geroepen, wordt gefinancierd door Meta en uitgereikt in samenwerking met USENIX om bijdragen aan de bescherming en verdediging van het internet te eren. USENIX is een non-profitorganisatie voor computerwetenschappers, systeembeheerders, ingenieurs en onderzoekers. Naast andere activiteiten organiseert de organisatie elk jaar een conferentie.
USENIX reikt de Internet Defense Prize uit aan onderzoekers die een werkend prototype leveren dat een aanzienlijke bijdrage levert aan de veiligheid van het internet, met name op het gebied van preventie en verdediging. De prijs is bedoeld als erkenning voor de richting van het onderzoek en niet noodzakelijkerwijs voor de tot nu toe geboekte vooruitgang, en heeft tot doel onderzoekers te inspireren zich te richten op onderzoeksgebieden met een grote impact. De USENIX Security Awards-commissie – geselecteerd door de programmavoorzitters uit de leden van de programmacommissie van het symposium – bepaalt onafhankelijk wie de prijs wint, die vervolgens door USENIX wordt uitgereikt.
Tijdens het USENIX Security Symposium van dit jaar, een van de vier grootste internationale conferenties op het gebied van cyber security, ontving het team bovendien een Distinguished Paper Award.
Verborgen tracking
In hun paper laten de onderzoekers zien hoe Meta en Yandex de privacywaarborgen tussen web- en app-omgevingen op Android-apparaten kunnen omzeilen. Hierdoor konden Meta en Yandex gegevens uit webbrowsers koppelen aan hun eigen Android-apps, waaronder Facebook, Instagram, Yandex Maps en Yandex Search.
Door trackingcode in miljoenen websites in te bedden, konden Meta’s Pixel en Yandex Metrica het surfgedrag van Android-gebruikers in kaart brengen op basis van hun permanente identiteit (d.w.z. wanneer de accounthouder is ingelogd). Deze methode omzeilt de privacybescherming die wordt geboden door de machtigingsinstellingen van Android en zelfs de incognitomodus van browsers, en treft alle grote Android-browsers.
Impact
Het internationale onderzoeksteam, met onder meer onderzoekers van IMDEA Networks (Spanje) en de KU Leuven (België), heeft het probleem gemeld bij verschillende browserleveranciers, mobiele platforms en gegevensbeschermingsautoriteiten. Naar aanleiding hiervan hebben meerdere leveranciers maatregelen ontwikkeld of aangekondigd om deze vorm van tracking tegen te gaan.