Datalek bij reisapp Polarsteps: iedereen kon meekijken, ook met afgeschermde reizen

Een privé-instelling die via een API gewoon genegeerd wordt is geen “foutje”, maar falend ontwerp en toezicht. Locatiedata is bovendien extreem gevoelig — stalkers, inbrekers en werkgevers hoeven echt geen miljoenenprofielen cadeau te krijgen; forse boete en schadevergoeding dus, niet alleen een excuus.

Een ansichtkaart is tenminste niet voorzien van miljarden gps-punten en een knop die “privé” heet. Maar goed, eerst maar eens horen hoeveel mensen die API daadwerkelijk hebben misbruikt — en wie dat controleert.

“Privé” betekende hier blijkbaar alleen: niet voor gewone gebruikers zichtbaar. Dat is geen klein technisch foutje maar een fundamentele productfout; Polarsteps moet per gebruiker concreet melden welke data is ingezien en wanneer, anders blijft het vooral damage control.

Het punt dat hier nog mist: niet alleen de vraag wat er is buitgemaakt, maar ook waarom een gemelde kwetsbaarheid maandenlang open kon blijven staan. Bij locatiegegevens hoort een privé-instelling gewoon technisch afgedwongen te worden; daarentegen is “geen wachtwoorden gestolen” een veel te smalle geruststelling.

Dat privéaccounts via een kwetsbare API toch maandenlang uitleesbaar waren, is een ernstig beveiligingsprobleem, zeker bij locatiegegevens. Maar “iedereen kon meekijken” is juridisch wat kort door de bocht: de feitelijke toegang, omvang en eventuele verspreiding moeten nog worden vastgesteld. Polarsteps moet daarover concreet rapporteren; “geen wachtwoorden buitgemaakt” zegt in casu weinig over de ernst van dit lek.

Het gaat niet alleen om waar iemand uithangt, maar ook om het compleet falen van een privacybelofte. Een privé-instelling hoort geen suggestie te zijn; als de app dat niet kan waarmaken, moet dat glashelder worden gemeld en gecompenseerd. Locatiegegevens blijven rondzingen, ook nadat het lek “opgelost” is, en dát is de nare energie hier.

Dat “miljoenen” klinkt fors, maar hoeveel privéaccounts zijn daadwerkelijk ingezien en over welke periode precies? Het verschil tussen technisch kunnen opvragen en aantoonbaar misbruik is nogal relevant — al blijft een lek waardoor verwijderde volgers toch toegang houden natuurlijk gewoon ernstig. Heeft Polarsteps de logs onderzocht, gebruikers gewaarschuwd en de AP gemeld, of wachten we daar nog op?

Afgeschermd betekent blijkbaar alleen afgeschermd voor de betalende klant... voor hackers stond de deur gewoon open. Reistijd delen is één ding, maar je hele leven als open routekaart op straat leggen is vragen om gedoe.

Die locatiegegevens zijn geen onschuldige vakantiefoto’s; je kunt er zien wanneer iemand weg is en soms zo een leeg huis uittekenen. En als de melder al in oktober aan de bel trekt en er maanden later nog verzameld kon worden, dan gaat het niet alleen om een bug maar ook om hoe serieus privacy daar blijkbaar werd genomen.

Dit is zeker geen klein foutje, maar “iedereen kon meekijken” is ook net te simpel: er was geen toegang tot accounts of wachtwoorden, wel tot een enorme hoeveelheid locatie- en fotodata via een lekke API. Juist die GPS-sporen maken dit zo ernstig; een reisprofiel kan je woonadres, afwezigheid en dagelijkse patronen verraden, dus Polarsteps moet glashelder uitleggen wanneer ze ervan wisten en waarom het zo lang duurde.

Dit is precies waarom locatiegegevens geen onschuldige app-informatie zijn. Ik heb ooit iemand via een gedeelde reisapp bijna letterlijk van hotel naar huis kunnen volgen; handig bedoeld, maar je ziet meteen hoe fout dat kan uitpakken. Dat Polarsteps na een melding nog maanden kwetsbaar bleef, is veel ernstiger dan een technisch foutje.

Ach ja, “privé” blijkt dus vooral een knopje voor de sier. Ook handig voor inbrekers: even zien wanneer iemand weken weg is en niemand thuis komt. Dit moet niet worden afgedaan met een excuus en een wachtwoordreset.

Het punt is niet alleen wat criminelen met die gegevens kunnen, maar ook dat Polarsteps een privé-instelling feitelijk niet waarmaakte. Locatiegegevens kunnen bovendien medische bezoeken, religieuze bijeenkomsten of iemands verblijf thuis onthullen; dat verander je achteraf niet even zoals een wachtwoord.

Precies, en je denkt er als gebruiker niet aan dat zo’n app je hele route maandenlang bewaart. Ik heb Polarsteps ooit tijdens een vakantie gebruikt en schrok er later van hoeveel hotels en adressen nog gewoon in mijn tijdlijn stonden; privé hoort dan ook echt privé te betekenen.

Gratis Premium is leuk, maar daar koop je geen veiligheid mee terug. Het echte punt is dat mensen hun reisplannen en locatie bewust afschermden en Polarsteps blijkbaar niet eens wist wie er kon meekijken. Dat is geen kortingscode-foutje, omg.

Een halfjaar is lang, maar “iedereen kon meekijken” betekent niet dat iedereen actief op zoek ging; laat Polarsteps eerst aantonen hoeveel accounts echt zijn bekeken, anders roepen we vooral hard op basis van maximale schade, klaar

Nou ja, ik had Polarsteps juist gebruikt omdat je familie dan een beetje mee kan kijken, maar na een reis kreeg ik ook ineens onbekende kijkers tussen de meldingen, dacht eerst nog dat ik verkeerd had geklikt. Als privé gewoon niet privé blijkt, moeten ze niet alleen excuses sturen maar precies vertellen welke gegevens zijn ingezien en wat ze nu echt hebben dichtgezet, hoor toch.

Dat privéprofiel was geen onzichtbaarheidsmantel, maar dit gaat wel verder dan een lullig vinkje. Als een lek maandenlang toegang gaf tot locaties en reispatronen, kunnen kwaadwillenden gewoon zien wanneer iemand niet thuis is. Dat risico hoef je niet groter te maken dan het is, maar wegwuiven als alleen wat vakantiefoto’s is ook naïef.

Bij mij stonden na een weekendje weg ook ineens exacte tussenstops en foto’s zichtbaar die alleen voor volgers bedoeld waren, dus dat vinkje stelde gewoon niks voor. Leuk verdienmodel zo’n reisdagboek, maar na een half jaar weten van dit lek is dit geen pech meer; dat is operationeel wanbeheer en een flinke vertrouwensdiscount voor Polarsteps.

Precies, en als verzekeraars straks moeilijk gaan doen noemen ze het gewoon “nalatigheid” van de klant. Een privéknop die een halfjaar voor jan en alleman openstaat is geen bugje maar verdienmodeldenken: data verzamelen, verantwoordelijkheid doorschuiven, en de gebruiker mag het uitzoeken.

Een privéknop die via een API gewoon genegeerd kan worden is geen privacy-instelling maar schijnveiligheid. Bij een privacyzaak waar ik ooit aan meewerkte bleek ook hoe snel “alleen voor bevoegde gebruikers” verandert in: iedereen met genoeg technische kennis; locatiegegevens zijn bovendien geen onschuldige likes, maar een routekaart van iemands leven. Dat Polarsteps na een melding nog maanden kwetsbaar bleef, maakt dit extra kwalijk — maar ok, wachtwoorden zijn niet gestolen dus blijkbaar valt het mee.

Ey, privé zetten is gewoon niet hetzelfde als onvindbaar zijn; een app moet alsnog zorgen dat alleen bevoegde mense erbij kenne. Maar maandenlang zonder inlog gegevens kunnen trekken is wel een FOUT van formaat, daar helpt geen klein lettertjes-verhaal tegen, halve zool.

Polarsteps heeft dit juist gemeld en gedicht; dat maakt het een serieus beveiligingslek, geen bewijs voor een verdienmodel. En verzekeraars kunnen niet zomaar achteraf schade afschuiven op klanten omdat een appbouwer zijn afscherming niet op orde had — daarvoor gelden gewoon polisvoorwaarden en aansprakelijkheidsregels.

Die kwantumvergelijking voegt weinig toe en leidt af van het echte probleem: een privéaccount was blijkbaar geen technische afspraak, maar slechts een vinkje in de app. Locatiegegevens zijn geen gewone gebruikersdata; daarmee kun je zien wanneer iemand weg is én waar die woont. Dat Polarsteps al in oktober 2025 was gewaarschuwd en het lek daarna nog maanden bruikbaar bleef, vind ik veel ernstiger dan de quasi-filosofische uitleg over observeren.

Dat vertrouwen is zeker kapot, maar het grootste punt blijft dat Polarsteps na die melding nog maanden toegang liet bestaan. Een fout kan gebeuren, maar daarna moet je de boel meteen dichtzetten en gebruikers eerlijk waarschuwen. Gratis premium of een excuus verandert daar niks aan.

exporteren is leuk maar eerst moeten ze gewoon toegeven welke links nog rondzwerven en die allemaal killen bro anders is account verwijderen gewoon de digitale versie van je sleutel weggooien terwijl de deur open blijft lol

Tja, structurele monitoring klinkt mooi, maar daar heb je nu niks aan als een reisapp überhaupt afgeschermde reizen via een foutje laat uitlezen. Eerst gewoon de basis dichttimmeren en gebruikers waarschuwen, ipv wachten tot een journalist het ontdekt.

“Concreet uitleggen” klinkt leuk, maar bedrijven geven pas details nadat hun juristen drie rondjes hebben gedraaid!!! En ondertussen stond jouw vakantie blijkbaar gewoon als etalage op internet… maar maak je vooral druk om de nette formulering van de melding.

Het punt is juist niet alleen of oude reizen nog online staan. Als die data maandenlang massaal kon worden opgehaald, moet Polarsteps kunnen uitleggen wat er is gelogd, wie erbij kon en of gebruikers gericht zijn benaderd. Verwijderen achteraf wist geen kopieën bij derden en maakt de schade dus niet ongedaan.