Privacybrowser Brave onder vuur: obscure affiliate marketing was verborgen geldmachine

In 2015 werd softwarebedrijf Brave opgericht door internetlegende Brendan Eich en Brian Bondy. Ze wilden het internet fundamenteel veranderen met een nieuw webbrowser. In het verhaal komen twee moeilijk te verenigen werelden bij elkaar: verdienmodellen op het internet en de privacy en veiligheid van de eindgebruiker. Brave zou dat spanningsveld omvormen tot synergie. 

Ruim vier jaar later heeft de browser 13,5 miljoen maandelijks actieve gebruikers en bezoeken 4,3 miljoen mensen dagelijks hun favoriete websites ermee. De slogan ‘You deserve a better internet’ blijkt aan te slaan en het is, gedreven door de nadruk op privacyfeatures, Eich en Bondy gelukt om een imago van onbesproken karakter op te bouwen.

Tot afgelopen dinsdag.

Referralcodes

Als een Brave-gebruiker de URL naar een cryptobeurs intypt, zoals binance.com of coinbase.com, voegt de browser daar zelf een referralcode aan toe. Ook bij aan cryptocurrencies gerelateerde zoekopdrachten geeft de browser suggesties van URL’s met referralcode.

Het gaat om een vorm van affiliate marketing. Door de code weten de betreffende exchanges dat het verkeer door de browser naar de beurs is geleid. Stel dat je op die manier bij Binance terechtkomt en jezelf daar aanmeldt, wordt een link gelegd tussen het account van Brave en je eigen account. Iedere keer als je handelt, ontvangt Brave daar commissie voor. Zo verdiende Brave op slinkse wijze aan haar gebruikers.

Brave heeft nooit over dit referralprogramma gecommuniceerd, ondanks wettelijke verplichtingen om daar transparant over te zijn. Het schandaal kwam aan het licht via Twitter-gebruiker Cryptonator1337:

So when you are using the @brave browser and type in "binance[.]us" you end up getting redirected to "binance[.]us/en?ref=35089877" - I see what you did there mates 😂

— Cryptonator1337 (@cryptonator1337) June 6, 2020

Door het stof

Het is schrijnend dat een op privacy gerichte browser op deze manier gebruik heeft gemaakt van nietsvermoedende gebruikers. In feite nam de browser de invoer van de gebruiker over en heeft het zonder dat kenbaar te maken aangepast – een veelgebruikte techniek van malware. Eich begrijpt dat als geen ander, en is er als de kippen bij met een poging de situatie te deëscaleren.

“We hebben een fout gemaakt”, schrijft Eich op Twitter. In een andere tweet biedt hij zijn excuses aan: “Het is niet mooi en nogmaals sorry. Ik ben er ook verdrietig over.”

Toch houdt de lezer een dubbel gevoel over aan het verhaal van Eich, die de ontstane situatie probeert te verdedigen. “We proberen een rendabel bedrijf op te bouwen”, schrijft hij. Volgens Eich “hoort ‘skin-in-game’-omzet via affiliates ook bij”. In de tweet die daarop volgt, stelt Eich dat “nieuwe gebruikers naar Binance brengen” expliciet onderdeel is van Brave’s business model.

Twijfel

Het debacle leidt uiteraard tot twijfel bij gebruikers. Zijn er bijvoorbeeld nog meer verborgen methodes waarmee gebruikers beïnvloed worden? Hoe kan een op privacy gericht bedrijf dergelijke beslissingen bewust genomen hebben? ‘Deed ik er wel goed aan om anderen deze browser aan te raden?’

Wat voor Brave en Eich spreekt, is dat er niet om de hete brij heen wordt gedraaid. De intenties liggen op tafel en de fout is erkend. “Een serieuze inschattingsfout verdient uitleg”, licht Eich toe. Die transparantie belandt bij sommige gebruikers in vruchtbare grond.

Volgens Eich zijn alle problemen in de volgende versie van de browser opgelost. Domeinnamen worden dan niet meer herschreven en door Brave aangepaste zoeksuggesties worden niet meer standaard getoond. Brave-gebruikers die niet willen wachten, kunnen dat laatste alvast zelf instellen op de eerste pagina onder brave://settings.

Enfin, deze gebeurtenis zal nog even als een pijnlijke zweem om Brave heen hangen. De meest passende afsluiting vinden we in de op Eich zijn Twitter-timeline vastgezette tweet:

Who owns your attention? Who owns your web browsing experience? Who gets paid? If not you, then you're "product".

Time to get paid.@Brave

— BrendanEich (@BrendanEich) April 8, 2016