We waarschuwen vaak voor de telefoon: phishing, malware, rare apps. Minder bekend — en eerlijk gezegd verbijsterend — is dit: een gewone website die je opent, kan in theorie meeluisteren naar wat er verder op je apparaat gebeurt. Niet door je bestanden te lezen. Niet door een virus te installeren. Gewoon via de browser, met JavaScript, terwijl jij denkt dat je “alleen een pagina bekijkt”.
In 2026 toonden onderzoekers van de TU Graz aan dat een pagina kan afleiden welke andere websites en lokale apps actief zijn. Geen plugin, geen download, geen “toestaan”. Dat is geen productfeature en geen marketingtool. Dat is een wetenschappelijke side-channel — en precies daarom verdient het aandacht.
Dit is geen mainstream techniek
Je komt dit niet tegen in een standaard webshop-checklist. Betrouwbare webdesigners, hosters en ontwikkelaars zetten dit soort trucs niet in. Integendeel: de branche is erop gericht om bezoekers te beschermen — veilige hosting, nette scripts, updates, beperkte rechten, en geen duistere meetexperimenten op jouw apparaat.
Wie zoiets heimelijk inzet om mensen te bespioneren, beweegt zich buiten wat ethisch én juridisch deugt. Verborgen observatie zonder legitieme grondslag botst met privacywetgeving; dit hoort in het rijtje “kwaadwillig onderzoek / misbruik”, niet bij normale websitebouw.
Wat er technisch mogelijk bleek
De pagina breekt de browser-sandbox niet open. Ze meet microscopische vertragingen in SSD-toegang via een browser-API (Origin Private File System, OPFS). Andere tabs en apps delen dezelfde schijfcontroller; die concurrentie laat een meetbaar spoor achter. Timingpatronen worden een soort vingerafdruk van systeemactiviteit.
De verrassing zit hier: de “aanvaller” is niet malware op je PC, maar een website die openstaat. Precies daarom voelt het zo dichtbij — en zo anders dan het beeld van “alleen mijn telefoon is riskant”.
Hoe heet dit onderzoek?
De methode heet FROST: Fingerprinting Remotely using OPFS-based SSD Timing. Onderzoekers publiceerden het om browsers en de industrie te waarschuwen — niet om iedereen een spionagetool te geven. Exedo publiceert hier geen stappenplan om dit na te doen.
Hoe het conceptueel werkt
- De pagina initialiseert opslag via OPFS.
- Er wordt een groot meetbestand aangelegd zodat reads de schijf raken, niet alleen de cache.
- In een lus meet de pagina de duur van random reads met high-resolution timers.
- Wanneer elders SSD-verkeer ontstaat (andere site, app start), verandert de latency — dat levert een trace op.
- Een model classificeert die trace: “waarschijnlijk site X” of “app Y”.
In labsettings zijn hoge scores gerapporteerd. Lab ≠ elke bezoeker even kwetsbaar — hardware, OS, ruis en browserbeleid maken verschil. Maar het principe staat: het kan.
Waarom dit toch telt
- Het verschuift het dreigingsbeeld: niet alleen apps en mail, ook websites die je bezoekt.
- Het laat zien dat “een tab openzetten” geen onschuldige, hermetische ruimte is.
- Het onderstreept waarom updates, strenge browsers en nette sites ertoe doen.
Geen paniek: dit is geen bewijs dat elke site je nu bespioneert. Wél een reden om bewuster te kiezen wie je vertrouwt online — en om te eisen dat professionals veiligheid meenemen.
Wie beschermt je?
Browserfabrikanten werken aan mitigaties (timers, quota, API-beleid). En dichterbij: webdesigners, hosters en ontwikkelaars die hun vak serieus nemen, houden je site schoon — geen wilde third-party scripts, actuele software, harde scheiding van wat een pagina mag, en monitoring op rare patronen. Dat is geen luxe; dat is het verschil tussen “open web” en “open deur”.
Wat jij hieraan hebt
Als bezoeker: realiseer je dat risico niet alleen in de telefoon zit. Als organisatie: laat je site bouwen en hosten door mensen die security meenemen, niet als afterthought. Wij herhalen geen exploits; we helpen je inschatten wat reëel is en wat eerst moet — zodat bezoekers veilig blijven.
