Foto’s en locaties van Polarsteps lagen op straat: journalisten konden bij gegevens van 23 miljoen gebruikers

Even serieus, 23 miljoen reisprofielen en een half jaar weten dat ze open en bloot liggen? Dat is geen incident meer maar structureel risicomanagement op standje casino. Mensen delen hun locatie juist omdat ze denken dat alleen hun volgers meekijken; Polarsteps heeft daarmee niet alleen privacy maar ook vertrouwen weggevaagd.

Het enge is niet alleen dat iemand je vakantiefoto’s ziet, maar dat zo’n openbaar reispatroon ook laat zien wanneer je níét thuis bent. Lekker handig voor inbrekers… en dan maanden wachten met melden? Transparantie en snel hulp bieden aan gedupeerden lijken me hier toch het minste, liefde voor je gebruikers begint met eerlijk zijn.

Het engste is niet eens dat iemand je vakantiefoto ziet, maar dat je live kunt aflezen wanneer een huis leegstaat en hoe lang dat al zo is. En straks wijzen ze naar één externe partij of een “menselijke fout”, terwijl het verdienmodel overal draait op zoveel mogelijk locatiegegevens verzamelen; privacy is dan toevallig alleen belangrijk tot de volgende advertentie-euro.

Het engste is misschien niet eens die 23 miljoen profielen, maar dat reisdata ook laat zien wanneer iemand níét thuis is. Een privacy-instelling die alleen maar een vinkje is terwijl de backend alles alsnog opengeeft, is gewoon slechte UX met potentieel echte gevolgen.

Het probleem zit niet alleen in de lekke deur, maar in het feit dat mensen hun reisdata vrijwillig als een soort digitale aura om zich heen hangen. Kwantumfysica toont aan dat een locatie pas echt privé is zolang niemand haar meet; bij 23 miljoen profielen was dat bewustzijnsveld blijkbaar al lang publiek eigendom.

Leuk hoor, “alleen journalisten konden erbij”... maar wie zegt dat er niet allang scripts, bots of andere partijen hebben meeg gekeken?! Locatiegegevens zijn goud waard voor verzekeraars, adverteerders en veiligheidsdiensten, en na een half jaar weet niemand meer wie wat heeft gekopieerd. EN DAN NOG IETS: verwijder je account maar eens, waar zijn die backups en exports dan gebleven???

Los van de technische fout: wat gebeurt er met die gedownloade dataset van FTM en de onderzoeker? “Niet gepubliceerd” betekent niet automatisch dat 23 miljoen profielen weer veilig zijn — zijn de bestanden vernietigd, wie had toegang en is dat onafhankelijk gecontroleerd? En Polarsteps moet gebruikers nu niet alleen adviseren hun wachtwoord te wijzigen, maar ook uitleggen welke gegevens precies zijn blootgesteld.

Wat hier onderbelicht blijft: wie draait op voor de gevolgen als iemand door zo’n reisprofiel wordt benaderd, bestolen of bedreigd? Een app kan niet volstaan met “lek gedicht”; gebruikers verdienen duidelijkheid over risico’s, hulp bij misbruik en een onafhankelijke controle, daarentegen moeten wij als gebruikers ook beseffen dat live locatie delen nooit zonder gevaar is.

En wie draait er straks op voor de ellende als iemand door zo’n reisprofiel ziet dat ge drie weken weg bent? Een sorry-mail en een jaar gratis app lossen een leeg huis of misbruikte foto’s niet op, daar mag best eens een echte schadevergoeding tegenover staan.

De kop zegt “lagen op straat”, maar uit het stuk blijkt vooral dat FTM en de onderzoeker via een kwetsbaarheid toegang kregen — dat is niet hetzelfde als bewijs dat iedereen dit kon zien. Belangrijker: welke API of toegangscontrole was fout, wanneer is die dichtgezet en zijn de logs gecontroleerd op misbruik? En 23 miljoen gebruikers klinkt enorm, maar om hoeveel actieve accounts en daadwerkelijk blootgestelde privéprofielen gaat het precies — daar mag Polarsteps wel concreet over worden.

Los van de technische fout: dit raakt ook gewoon de AVG-meldplicht. Bij een risico voor miljoenen mensen moet je niet maanden stil blijven zitten en hopen dat niemand het merkt; betrokkenen en de toezichthouder moeten tijdig worden geïnformeerd. En gebruikers moeten nu niet alleen “sorry” krijgen, maar duidelijk horen welke data zijn ingezien, wanneer en welke maatregelen ze zelf moeten nemen.

Niet alleen gebruikers zijn hier gedupeerd; ook mensen die toevallig op een foto staan of samen met iemand reizen hebben nooit toestemming gegeven voor zo’n compleet profiel. Wat veel mensen niet weten: locatiegegevens zijn vaak gevoeliger dan een naam, omdat herhaalde patronen werk, huis en dagelijkse routines kunnen blootleggen. Bij dit soort apps zou privacy dus de standaard moeten zijn, niet een instelling waar je achteraf maar op moet vertrouwen.

Het probleem is dat Polarsteps blijkbaar privacy-instellingen aan de voorkant verkoopt, terwijl de backend die grenzen niet afdwingt. De oplossing is onafhankelijke securitytests vóór elke grote release en directe melding aan gebruikers zodra locatiegegevens mogelijk zijn ingezien; een vinkje bij “alleen volgers” is waardeloos als de infrastructuur daarachter iedereen binnenlaat.

Wat mij vooral stoort: gebruikers konden blijkbaar zelf niet controleren wat er precies openbaar stond. Een vinkje bij “alleen volgers” stelt dan weinig voor als de techniek erachter dat niet afdwingt. Bij zulke apps zou de standaard gewoon moeten zijn: locatie uit, en delen alleen bewust per keer.

Los van de terechte kritiek: gebruikers moeten nu vooral weten wat ze kunnen doen. Wachtwoorden hergebruiken is misschien niet direct het probleem, maar verwijder oude reizen, zet locatie delen uit en kijk welke foto’s en huisgegevens nog zichtbaar zijn; bij kinderen zou ik het account voorlopig helemaal niet gebruiken. En de Autoriteit Persoonsgegevens mag hier best uitleggen waarom een lek van deze omvang blijkbaar maanden kan blijven liggen.

Men vergeet gemakkelijk dat een privacy-instelling geen belofte op het scherm is, maar een technische afspraak die ook in de database en back-ups moet worden afgedwongen. Dat journalisten de gegevens konden downloaden, wijst bovendien op een gebrek aan logging en alarmbellen; anders was dit geen half jaar blijven liggen. Nu graag niet alleen excuses, maar ook een onafhankelijk onderzoek naar wie wanneer wat wist.