NOS Nieuws
De in Nederland opgerichte en wereldwijd populaire reisapp Polarsteps heeft zeker een halfjaar de gegevens van zijn gebruikers onvoldoende beschermd. Onderzoeksplatform Follow The Money (FTM) ontdekte dat via een lek in de beveiliging van de app reisinformatie van miljoenen reizigers kon worden verzameld, ook van diegenen die hun account op privé hadden gezet.
Het idee van je account op privé zetten is juist dat gebruikers zelf kunnen bepalen wie meekijkt met de reis. FTM achterhaalde desondanks de namen van 23 miljoen internationale gebruikers, kon honderden miljoenen foto’s inzien en had toegang tot miljarden gps-locaties van miljoenen Polarsteps-reizen.
Woonadressen ontdekt
Dit kon met behulp van de zogeheten Application Programming Interface (API) van de gratis te downloaden app. Normaal gesproken is dit gedeelte afgeschermd en niet toegankelijk, maar met de servers van Polarsteps kon iedereen eenvoudig verbinding maken, schrijft FTM.
Op die manier konden journalisten ook accounts volgen die afgeschermd waren, zonder dat de gebruikers hier toestemming voor hadden gegeven. Binnen een paar maanden had FTM bakken aan informatie binnengehaald, waaronder zelfs de woonadressen van vele gebruikers.
Als een gebruiker uiteindelijk ontdekte dat FTM zich ongewenst als volger had gemeld en FTM vervolgens verwijderde, was het probleem nog niet opgelost. FTM bleef door de lekke API gewoon toegang houden tot de gegevens van de reiziger.
Fransman vertrouwde Polarsteps niet
De problemen kwamen in oktober 2025 aan het licht dankzij de Fransman Louis Couderc, in het dagelijks leven cybersecurityonderzoeker. Tijdens een reis door Zuidoost-Azië werd hij door andere reizigers op Polarsteps gewezen. Nadat hij de app had geïnstalleerd, ontdekte hij al snel dat hij via de API niet alleen reizigers kon volgen die hij mocht volgen, maar ook duizenden andere gebruikers.
Hij meldde het lek bij Polarsteps, schrijft FTM, maar kreeg als antwoord dat dit al bij het bedrijf bekend was. De Fransman vermoedde dat zijn waarschuwing niet serieus werd genomen en speelde zijn bevindingen vervolgens door aan FTM. De journalisten konden uiteindelijk nog maandenlang grote aantallen reizigers ongestoord volgen.
Gebruikers beter beveiligen
In een reactie benadrukt Polarsteps dat er geen wachtwoorden zijn buitgemaakt en dat FTM geen toegang kreeg tot accounts. Het bedrijf zegt in contact te staan met de Autoriteit Persoonsgegevens, de organisatie die toezicht houdt op de naleving van privacywetten.
