Kurragömma med testare: YouTuber och digital kriminalteknisk expert avslöjar ny honungsskandal

I slutet av 2024 släppte YouTuber MegaLag en video som avslöjar ett system som går långt utöver enkla provisionstrick. Honey har sett en kraftig nedgång i sin användarbas sedan dess. Från att en gång ha varit runt 17 till 20 miljoner användare av Chrome-tillägg finns det nu bara 12 miljoner kvar, enligt aktuella Chrome Web Store siffror. I en ny videogör YouTuber allvarliga anklagelser mot företaget. För att säkra sina tekniska resultat tog MegaLag med sig den kända säkerhetsforskaren Ben Edelman ombord, som verifierade upptäckterna från första hand.

Tillsammans avslöjade de ett system som sägs likna Dieselgate-skandalen i sina proportioner. Det så kallade SSD-systemet (Selective Standdown) är enligt uppgift en dold logik i källkoden som Honey använder som en digital täckmantel. Principen påstås vara lika enkel som den är perfid: webbläsartillägget påstås känna igen specifika egenskaper för att avgöra om det används av en testare eller en vanlig användare. Enligt analyserna ska fyra centrala kriterier kontrolleras för att identifiera potentiella testare: kontots ålder, poängsaldot, en svart lista på serversidan och förekomsten av cookies från professionella affiliatenätverk som CJ eller Awin. Om Honey misstänker att en branschinsider tittar på, sägs tillägget bete sig i full överensstämmelse och avstår från att skriva över spårningslänkar från tredje part. Men så snart programvaran identifierar en normal köpare - till exempel någon med många lojalitetspoäng och inga professionella cookies - växlar den enligt uppgift till attackläge och injicerar sina egna koder för att ta provisioner som faktiskt skulle tillhöra influencers.

Edelman jämför detta beteende med Volkswagens Dieselgate-skandal, eftersom programvaran enligt uppgift var särskilt programmerad för att känna igen och manipulera testsituationer. Bevisen sägs vara tunga, eftersom de inte är baserade på gissningar utan extraherades direkt från tilläggets konfigurationsfiler och JavaScript-kod. Denna manipulativa logik har enligt uppgift förfinats genom åren; till exempel har den poängtröskel som krävs för att utlösa manipulationen stigit från cirka 501 poäng 2022 till över 65 000 poäng för närvarande, vilket gör upptäckt av tillfälliga testare nästan omöjlig. För utredarna bevisar det riktade döljandet från testare framför allt att Honey visste exakt att dess eget beteende bröt mot gällande nätverksregler och gick långt för att inte bli fångad. Enligt uppgift går bevis för Selective Standdown-protokollet tillbaka till 2017. Detta går hela vägen tillbaka till innan PayPal ägde en del av verksamheten.

En annan kritikpunkt i videon är den avsiktliga bedrägeriet av användare genom en artificiellt uppblåst kupongdatabas. MegaLag påpekar att Honey ofta döljer utgångna eller till och med icke-funktionella koder som exklusiva, bara för att hålla användaren i förlängningen. Medan den automatiska kontrollprocessen körs placerar Honey enligt uppgift sin egen affiliate-cookie i bakgrunden och skriver ofta över länkar från influencers eller innehållsskapare, även om ingen fungerande rabatt hittades. Denna procedur sägs säkerställa att provisionen hamnar hos PayPal i slutändan, medan den ursprungliga mellanhanden kommer tomhänt bort. I en annan video visade MegaLag också att Honey enligt uppgift hämtar kuponger från användarinmatning och distribuerar dem till andra användare. Om butiksoperatörer försöker vidta åtgärder mot detta, är de enligt uppgift mobbade för att ingå ett partnerskap med Honey. Honeys beteende är överlag tveksamt. Ur användarens perspektiv är integritetsintrången i första hand obehagliga. Den mest obehagliga konsekvensen för återförsäljarna är förmodligen den systematiska förstörelsen av deras marknadsföringsstrategier. Obehörig publicering av privata kupongkoder leder enligt uppgift till massiva intäktsförluster. För att återfå kontrollen över sitt eget rabattsystem lockas återförsäljarna sedan in i ett partnerskap med Honey. Företag och innehållsskapare som förlitar sig på inkomster från affiliate-marknadsföring berövas systematiskt sina intäkter, eftersom Honey enligt uppgift säkrar provisionen för försäljning som redan anses vara säker först vid betalningstillfället.