Locatiegegevens van 23 miljoen Polarsteps-gebruikers waren via api te scrapen

23 miljoen mensen volgen en niemand dacht: misschien moeten we die locatiegegevens niet gewoon onbeperkt via een api laten ophalen?? Wat heb je aan privacy-instellingen als een beetje handige scraper alsnog kan zien waar iemand reist, woont of wanneer het huis leegstaat?! En nu een onderzoek het blootlegt zeker snel een excuus en klaar ermee??

Het engste is misschien nog dat dit niet eens een spectaculaire hack was, maar gewoon een deur waar iemand bleef duwen tot-ie open ging. Privacy-instellingen blijken dan vooral decoratie, zeg maar de rookmelder zonder batterij.

“Afgeschermd” is hier blijkbaar alleen een knopje in de interface, niet iets dat de backend respecteert. Polarsteps moet niet alleen de api dichttimmeren, maar ook uitleggen welke data al is opgehaald en hoe lang die bewaard is; anders is dit geen privacyfeature maar marketing met een groen vinkje.

Ach, die data staat nu waarschijnlijk overal in back-ups en dataverzamelingen waar Polarsteps geen zicht meer op heeft; app dichtzetten is dus niet genoeg, meld gebruikers wat er precies is buitgemaakt en regel hulp tegen misbruik тамам

Het probleem is groter dan alleen Polarsteps. Veel apps verzamelen standaard veel meer locatiegegevens dan nodig en bewaren die vervolgens jarenlang; daar heb je als gebruiker nauwelijks zicht op. Een privéprofiel zou gewoon privé moeten zijn, en oude reisdata automatisch verwijderen lijkt me het minste.

Nou ja, ik hoop vooral dat toezichthouders hier niet pas wakker worden nadat een journalist het voordoet, want locatiegegevens zijn geen gewone profielinformatie. En voor gebruikers: reisfoto’s pas achteraf plaatsen is misschien verstandig, maar je hoort niet zelf de beveiligingsafdeling van zo’n app te moeten spelen hoor toch.

Een API hoort niet méér te kunnen dan de gebruiker in de app mag zien, zo simpel is het. Als Polarsteps nu alleen de stekker eruit trekt maar geen onafhankelijke controle laat doen, weten we over een jaar nog steeds niet of dit opgelost is of alleen minder zichtbaar.

Leuk hoor zo’n reisdagboek, maar wie is eigenlijk eigenaar van al die routes en foto’s zodra je op “delen” klikt?? Krijgen gebruikers nu ook betaald voor de waarde van hun bewegingsprofiel, of mag alleen het bedrijf eraan verdienen terwijl jij achteraf mag hopen dat niemand weet wanneer je op vakantie bent?!

LEKKER DAN, straks mot je ook nog je vakantie geheim houwe voor je eigen moeder omdat een api alles rondstrooit, en wie betaald de rekening als iemand ziet dat je drie weke weg ben en je huis leeg staat MAN!!!

Weer blijkt privacy pas belangrijk als iemand met een beetje verstand naar de achterkant kijkt. Die 23 miljoen gebruikers krijgen straks misschien een mailtje, maar de ontwikkelaars die dit jaren zo hebben laten staan zitten waarschijnlijk gewoon weer bij de volgende app.

Kijk, het echte probleem is dat locatie-data voor criminelen gewoon handelswaar is: vakantieroutes, woonadres en terugkerende patronen zijn samen een complete inlichtingenkaart. Eén IP zonder rate limits betekent dat Polarsteps de risicopremie bij miljoenen gebruikers heeft neergelegd, nu mogen ze ook aantonen wat er precies is buitgemaakt.

EN DAN ZEGGE ZE STRAKS NOG DAT JE ZELF OP OPENBAAR HEB GESTAAN, TERWIJL EEN PRIVÉKNOP DUS GEWOON VOOR DE SIER IS, IK ZOU ALS REISMAKELAAR EFFE TWEE KEER NADENKE VOOR IK MENSEN NOG LAAT UPLOADEN MAN!!!

Weet je wat het is: mensen delen zo’n route vaak met familie omdat het veilig voelt, maar daarmee kan ook zichtbaar worden waar iemand werkt, behandeld wordt of regelmatig alleen komt. Na een datalek kun je die informatie niet even terughalen; Polarsteps moet dus niet alleen de api repareren, maar ook actief meedenken met mensen die hierdoor risico lopen.

Het gemak waarmee dit kon is één ding, maar wie heeft bedacht dat een reisapp überhaupt 23 miljoen mensen permanent hun routes en verblijfplaatsen laat opslaan? In mijn tijd bij de KLM wist de planning waar ik moest zijn, niet de hele wereld waar ik op dinsdagavond een hotel binnenliep; mooie foto’s kun je ook achteraf plaatsen, zonder van je vakantie een live logboek voor onbekenden te maken.

Wat mij zorgen baart: dit soort apps worden vaak gebruikt door kinderen en gezinnen, terwijl zij niet kunnen overzien wat een openbare routekaart betekent. Daarentegen moeten we oppassen dat de oplossing niet wordt dat mensen maar helemaal geen mooie herinneringen meer delen; de aanbieder hoort privacy standaard goed te regelen, niet als extraatje.

Tja, weer een app die gemak boven veiligheid zet. Als chauffeur deel ik liever zelf wel of niet waar ik ben... nu moet je straks zeker elk icoontje en elke api gaan wantrouwen, gekkenwerk.

Een api die miljoenen profielen kan uitlezen is geen foutje maar een ontwerpkeuze, daar had vóór de lancering al een simpele beveiligingstest op moeten zitten, klaar

Het wrange is dat gebruikers hier waarschijnlijk zelf het verdienmodel hebben gesubsidieerd: gratis reisapp in ruil voor een gedetailleerd spoor van waar je bent en wanneer. Enerzijds is een lek een beveiligingsfout, anderzijds maakt het ook zichtbaar hoe achteloos we locatie tot content hebben gemaakt. Een reisdagboek is leuk, maar voor een platform is het óók een kaart van gewoontes, relaties en lege woningen.

En ondertussen blijven mensen maar denken dat alleen hackers gevaarlijk zijn, terwijl een bedrijf met een open api natuurlijk net zo goed je hele reispatroon kan weggeven 😳 Ik ga voortaan echt pas na thuiskomst posten, maar eigenlijk is het bizar dat dat nodig is.

Het lastige is dat je bij locatiegegevens niet alleen jezelf blootgeeft. Op een reisfoto staan vaak kinderen, vrienden of mensen op de achtergrond die nooit voor Polarsteps hebben gekozen, terwijl hun verblijfplaats of routine wel mee kan lekken. Een app die van reizen een openbaar dataproduct maakt, moet dus veel terughoudender zijn met standaard bewaren en delen; achteraf alles verwijderen kan dan al te laat zijn.

Gratis apps betalen gebruikers vaak met hun gegevens. Dat is de rekening die niemand leest. Locatie delen met de hele wereld is geen naastenliefde.ાજુ

Dit laat ook zien hoe misleidend het aantal gebruikers is als maatstaf voor veiligheid: 23 miljoen profielen klinkt indrukwekkend, maar één slecht afgeschermde API maakt schaalbare misbruik mogelijk. Locatiedata is bovendien contextueel gevoelig; een losse foto lijkt onschuldig, een reeks tijdstippen en routes kan iemands woonadres, werkplek of afwezigheid onthullen. De Autoriteit Persoonsgegevens zou hier niet alleen naar de fout moeten kijken, maar ook naar de vraag of Polarsteps überhaupt zoveel historische locatiegegevens nodig had.

De technische fout is één ding, maar de bestuurlijke vraag is wie dit eigenlijk had moeten controleren vóór 23 miljoen profielen online stonden. Een privacy-instelling is geen vrijblijvende belofte; als de backend die niet uitvoert, is dat gewoon een tekortkoming waarvoor de Autoriteit Persoonsgegevens waarschijnlijk meer nodig heeft dan alleen een excuus.

En waarom werd zo’n reisapp überhaupt groot met het verzamelen van complete bewegingsprofielen? Een lek is erg, maar het verdienmodel waarbij bedrijven precies weten wanneer jij op vakantie bent en wie bij je huis hoort te zijn nóg enger!!! Kijk zelf maar eens hoeveel apps standaard om locatie vragen terwijl dat helemaal niet nodig is.

Wat ik mis in dit verhaal is de verantwoordelijkheid van appstores en verzekeraars: een app mag niet jarenlang locatiegegevens verzamelen zonder aantoonbaar goede controles. Misschien moeten privacy-audits net zo normaal worden als een apk voor een auto, want nu ontdekken gebruikers pas achteraf dat hun digitale voordeur wagenwijd openstond. Dat voelt echt niet goed.

Wat mij zorgen baart: wie is hier eigenlijk verantwoordelijk als een afgeschermd profiel toch openbaar blijkt? Niet de gebruiker die netjes de privacyknop heeft gebruikt, maar het bedrijf dat die keuze technisch niet heeft uitgevoerd. De Autoriteit Persoonsgegevens zou moeten toetsen of zulke apps hun privacy-instellingen aantoonbaar testen, anders blijft toezicht vooral achterafwerk.