CamScanner is qua malware vandaag waarschijnlijk veilig, maar de privacycompromissen zijn aanzienlijk: documenten worden geupload naar servers onder Chinese juridische jurisdictie, advertentie-SDKs verzamelen apparaatinformatie en voor de volledige functionaliteit is een account vereist dat je activiteit aan een vast profiel koppelt. Het Trojan-Dropper-incident uit 2019, ontdekt door Kaspersky Lab, is opgelost, maar de structurele zorgen blijven. Dit artikel zet de publieke feiten uiteen, legt de afwegingen uit en laat de conclusies aan je over.
Voordat we beginnen: wij maken ScanLens, een concurrerende scanner, en we hebben dus een duidelijk belang. We hebben geprobeerd het verhaal feitelijk en eerlijk te houden. Alles wat hieronder wordt aangehaald, komt uit publieke bronnen: het onderzoek van Kaspersky Lab, artikelen van Forbes en The Verge en het gepubliceerde privacybeleid van CamScanner. We doen geen uitspraken die verder gaan dan de openbare gegevens.
Wat is CamScanner?
CamScanner is een documentscanner-app van INTSIG Information Co., Ltd., een bedrijf met hoofdkantoor in Shanghai, China. De app is al meer dan tien jaar beschikbaar op Android en iOS en is een van de meest gedownloade scanners ter wereld. Hij biedt documenten scannen, OCR, cloudopslag, PDF-conversie en bestandsdeling.
De app werkt met een freemium-model — advertenties in het gratis abonnement en een Premium-abonnement dat ze verwijdert en extra functies opent. CamScanner vraagt je een account aan te maken voor de volledige functieset; gescande documenten worden gesynchroniseerd naar de cloudservers van CamScanner.
Jarenlang was CamScanner de voor de hand liggende aanbeveling voor iedereen die documenten met de telefoon wilde scannen. Dat veranderde in augustus 2019.
Het malware-incident van 2019
In augustus 2019 ontdekten onderzoekers van Kaspersky Lab — een van de bekendste cybersecuritybedrijven ter wereld — schadelijke code in de Android-versie van CamScanner. Concreet: een Trojan-Dropper-component (Trojan-Dropper.AndroidOS.Necro.n) die was ingebouwd in een externe advertentiebibliotheek die CamScanner in de app had geïntegreerd.
De Trojan-Dropper kon extra schadelijke code op het toestel van de gebruiker downloaden en uitvoeren. Volgens de analyse van Kaspersky kon de schadelijke module opdringerige advertenties tonen, gebruikers zonder hun medeweten op betaalde diensten abonneren en willekeurige code uitvoeren die afkomstig was van externe servers. De vondst was zo ernstig dat Google CamScanner uit de Play Store haalde. Het verhaal werd opgepikt door Forbes, The Verge, ZDNet en veel andere techuitgaven.
Voor veel gebruikers was dit de eerste keer dat een grootschalige, hoog gewaardeerde productiviteits-app drager bleek te zijn van wat in essentie schadelijke code was — niet door een hack, maar door een externe SDK die de ontwikkelaar had besloten op te nemen.
Wat er daarna gebeurde
Eerlijk is eerlijk tegenover INTSIG: het bedrijf heeft gereageerd. CamScanner verwijderde de schuldige advertentie-SDK, bracht een bijgewerkte versie uit en werd uiteindelijk hersteld in de Google Play Store. INTSIG schreef het probleem toe aan een externe advertentiebibliotheek en niet aan de eigen code — wat plausibel is: zo'n supply-chain-compromis via advertentie-SDKs is een bekend risico in het mobiele ecosysteem en andere apps hebben vergelijkbare problemen gehad.
De app is sinds de afhandeling weer beschikbaar in beide grote stores. Publieke herhalingen van precies dit probleem zijn er niet geweest. Dat hoort erbij. Het incident van 2019 betekende niet dat de ontwikkelaars van CamScanner bewust schadelijke code verspreidden. Het betekende dat een advertentie-SDK die voor de monetisatie van de app was gekozen, een ernstige beveiligingskwetsbaarheid binnenbracht. De vraag is wat dat zegt over de afwegingen in het bedrijfsmodel van de app.
Jurisdictie van data: wat de Chinese binding betekent
Los van het incident van 2019 roept CamScanner een ander privacyvraagstuk op dat niets te maken heeft met bugs of slechte code. INTSIG heeft zijn hoofdkantoor in Shanghai en valt, zoals alle bedrijven die in China actief zijn, onder de Chinese gegevenswetgeving.
Het Chinese kader voor gegevensregulering — onder andere de Cybersecurity Law (2017), de Data Security Law (2021) en de Personal Information Protection Law (2021) — geeft de Chinese overheid brede bevoegdheden om toegang te krijgen tot gegevens die door bedrijven binnen haar jurisdictie worden bewaard. Dit is geen aanname of redactionele opmerking, dit staat in de wettekst.
Wanneer je een document scant via CamScanner en het bestand wordt geupload naar de cloudservers van CamScanner, staat de data op infrastructuur die wordt beheerd door een bedrijf onder Chinese jurisdictie. Of de Chinese overheid haar bevoegdheden heeft gebruikt om bij gegevens van CamScanner-gebruikers te komen, is publiek niet bekend. Maar het juridische kader voor zo'n toegang bestaat.
Voor sommige gebruikers — vooral wie persoonlijke financiële documenten, juridische dossiers, medische informatie of zakelijke contracten scant — weegt deze jurisdictionele vraag zwaarder dan welk vroeger malware-incident dan ook. Malware was een herstelbare bug. Jurisdictie is structureel.
Dit is niet uniek voor CamScanner. Elke app die wordt geëxploiteerd door een bedrijf onder welke jurisdictie dan ook, valt onder de toegangsregels van dat land. De vraag is of jij comfortabel bent met de specifieke jurisdictie, gegeven de specifieke gevoeligheid van wat je scant. Voor Nederlandse gebruikers zijn AVG-handhaving (door de Autoriteit Persoonsgegevens) en het Schrems II-arrest extra ankerpunten als het gaat om internationale datadoorgifte.
Wat het privacybeleid van CamScanner zegt
Het privacybeleid van CamScanner, openbaar beschikbaar op hun site, beschrijft een standaardpakket aan praktijken: het verzamelen van gebruikersgegevens via accountregistratie, analytics over app-gebruik, opslag van gescande documenten op cloudservers voor synchronisatie en externe analytics-partners die helpen het gebruikersgedrag te beoordelen.
Het beleid vermeldt onder meer dat data binnen de bedrijfsstructuur van INTSIG kan worden gedeeld, inclusief infrastructuur in China, en dat het bedrijf de toepasselijke wetten over toegang tot data in zijn jurisdictie naleeft. Dat is standaardtaal voor een cloud-app — maar het verschilt van een volledig on-device verwerkingsmodel, waar het privacybeleid over documentverwerking neerkomt op één regel: documenten verlaten je telefoon niet.
Wat privacygerichte alternatieven in plaats daarvan bieden
Als privacy een prioriteit is, zijn er een paar structurele aanpakken die scanners met privacyfocus bieden:
- OCR op het toestel. Tekstherkenning gebeurt op de telefoon via Apple Vision of vergelijkbare lokale engines, zonder dat het document naar een externe server wordt geupload. ScanLens gebruikt bijvoorbeeld Apple Vision op iPhone — documenten gaan tijdens OCR naar geen enkele cloud.
- Zonder verplicht account. Installeer en gebruik zonder registratie, zonder dat je scan-activiteit aan een vast profiel wordt gekoppeld.
- Zonder advertenties. Een scanner die niet door advertenties wordt gefinancierd — geen advertentie-SDKs die de bron kunnen worden van een toekomstig "AdHub-incident".
- Eigen clouds voor synchronisatie. Als je cloud nodig hebt — dan is het jouw iCloud, Google Drive, Dropbox of OneDrive, niet de propriëtaire CamScanner Cloud.
- Jurisdictie thuis. Documenten blijven op je toestel, in je land, onder je eigen wetten.
Dit zijn structurele verschillen, geen marketingverhalen. Ze beantwoorden dezelfde basisvraag — waar je documenten staan en wie er toegang tot heeft — met een andere architectuurkeuze.
Samenvatting
Is CamScanner vandaag veilig? Wat malware betreft waarschijnlijk wel, en het incident van 2019 heeft zich niet herhaald. Maar "geen malware" is niet hetzelfde als "privé". Het bedrijfsmodel — verwerking in de cloud, advertentie-SDKs in het gratis abonnement, verplicht account, jurisdictie China — betekent dat meer mensen en systemen je documenten zien dan bij een on-device verwerkingsmodel. Voor documenten met lage gevoeligheid is dat prima. Voor documenten met hoge gevoeligheid is een structureel privater alternatief het overwegen waard.
Vind je dat privacy het waard is om van tool te wisselen, kijk dan naar de vergelijking ScanLens vs CamScanner — daar staan gedetailleerde tabellen en een prijsanalyse. Of begin op de ScanLens-startpagina: gratis te downloaden, zonder account, OCR op het toestel.