Datalek Polarsteps: locaties 23 miljoen reizigers zichtbaar

In dit artikel:

De reisapp Polarsteps liet door een onbeveiligde api maandenlang gegevens van 23 miljoen gebruikers wereldwijd inzien, ook van accounts die op privé stonden. Follow the Money kon daardoor namen, honderden miljoenen foto’s en video’s en miljarden gps-punten uit miljoenen reizen bekijken. Uit die gegevens waren bovendien woonadressen te achterhalen.

De Franse beveiligingsonderzoeker Louis Couderc ontdekte de kwetsbaarheid in oktober 2025 tijdens een reis door Zuidoost-Azië. Nadat hij Polarsteps had gewaarschuwd, meldde het bedrijf dat het probleem al bekend was. Toch kon Follow the Money de gegevens daarna nog maandenlang benaderen.

Polarsteps spreekt tegen dat sprake was van een datalek en noemt de informatie openbaar toegankelijk. Het bedrijf zegt dat geen wachtwoorden zijn buitgemaakt, maar erkent dat de beveiliging op onderdelen beter had gemoeten. Inmiddels is de api afgeschermd tegen grootschalig uitlezen, zijn gedeelde links beter beveiligd en worden onder meer verzoeklimieten en de opslag van registratie- en reisgegevens aangepast.

Polarsteps heeft contact met de Autoriteit Persoonsgegevens. Die kan bij onvoldoende beveiliging van persoonsgegevens een boete opleggen tot 4 procent van de wereldwijde jaaromzet, maar het is nog onbekend of er een onderzoek komt. Gebruikers kunnen de maandenlang toegankelijke reisgeschiedenis niet meer terughalen.