Datalek bij reisapp Polarsteps: iedereen kon meekijken, ook met afgeschermde reizen

Een privéaccount dat via een openbare API alsnog miljarden locatiepunten prijsgeeft, is geen klein foutje maar een compleet verkeerd beveiligingsmodel. Vooral kwalijk dat de kwetsbaarheid al in oktober 2025 was gemeld en er daarna blijkbaar nog maandenlang data verzameld kon worden; wachtwoorden hoeven niet gestolen te zijn om iemands huis en reisgedrag bloot te leggen.

Kijk, dit is voor Polarsteps niet alleen een privacyprobleem maar ook reputatieschade: mensen gebruiken zo’n app juist als digitaal reisdagboek en delen daarmee onbewust hun afwezigheid met inbrekers. Na een halfjaar lekken verwacht ik minstens een harde uitleg, onafhankelijke audit en compensatie, anders gaan gebruikers massaal hun data exporteren en short ik het vertrouwen alvast.

Het zij zo, een app kan technisch nog zo handig zijn; locatiegegevens zijn geen onschuldige vakantiekiekjes maar een dossier van iemands leven. Wat mij vooral stoort is dat “privé” hier kennelijk als een knopje in de gebruikersinterface is behandeld, niet als een harde eis aan de hele achterliggende architectuur. De Autoriteit Persoonsgegevens mag dus best nagaan of Polarsteps niet alleen heeft gedicht, maar ook tijdig en eerlijk heeft gewaarschuwd.