Datalek bij Polarsteps: locaties en foto's van 23 miljoen gebruikers op straat

In dit artikel:

De Nederlandse reisapp Polarsteps had een ernstig beveiligingslek waardoor gegevens van meer dan 23 miljoen accounts toegankelijk waren. Follow the Money kreeg via een onvoldoende beveiligde API toegang tot privéfoto’s, video’s, namen en zeer nauwkeurige locatiegegevens, ook van reizen en profielen die als privé waren ingesteld.

De Franse cybersecurityexpert Louis Couderc ontdekte het probleem eind vorig jaar en meldde het bij Polarsteps. Nadat volgens hem geen adequate maatregelen volgden, bracht hij de kwestie naar buiten. FTM kon vervolgens meer dan 1 miljard locatiepunten van bijna twee miljoen reizen verzamelen. Via de livetrackingfunctie waren gebruikers soms tot op de minuut te volgen. Ook konden meldingen worden ingesteld wanneer een specifieke reiziger een bepaalde regio binnenkwam.

Daarnaast waren naar schatting 230 miljoen foto’s en video’s op te vragen, inclusief verborgen gps-coördinaten. Daardoor konden beelden bijvoorbeeld het thuisadres van een reiziger onthullen. Polarsteps zegt verrast te zijn door de omvang van de toegang, heeft de API-beveiliging aangescherpt en onderzoekt verdere maatregelen. Het bedrijf benadrukt dat sommige gegevens openbaar waren gedeeld en bekijkt ook hoe kan worden voorkomen dat gebruikers livetracking na thuiskomst vergeten uit te schakelen.