Locatiegegevens en foto’s zijn eenvoudig te achterhalen via de reisapp Polarsteps, ontdekken Nederlandse onderzoekers. Polarsteps zou hier al langer van op de hoogte zijn, maar deed niets.
Polarsteps is een populaire app onder reizigers. Via de app kan je een digitaal dagboek met foto’s van je reizen bijhouden. Dat klinkt leuk voor jezelf om op sombere dagen je reizen nog eens te herbeleven en je buitenlandse avonturen te delen met het thuisfront. Maar door slechte beveiliging kan de app misbruikt worden door vreemden met slechte intenties om je overal te volgen, ontdekte Follow The Money.
Om de app te gebruiken, vraagt Polarsteps onder meer toegang tot de locatie van je apparaat en je fotoalbum. Doe je dit niet, krijg je bij iedere aanmelding een notificatie dat dit nodig is om de ervaring te verbeteren. Je kan instellen dat je niet je exacte, maar een geschatte locatie deelt en reizen privé maken zodat enkel vrienden en familie je kunnen volgen. Dat geeft je slechts een vals gevoel van controle.
FTM verzamelde de namen van 23 miljoen gebruikers, ruim een miljard gps-punten uit bijna twee miljoen reizen en honderden miljoenen foto’s en video’s. Volgens VRTNWS zijn de gegevens van bijna een miljoen Belgen blootgesteld. Ook reizen die op ‘privé’ of ‘alleen volgers’ stonden, bleken opvraagbaar zonder dat iemand een volgverzoek moest goedkeuren.
Lekke API
De oorzaak is geen exotische zero-day, maar een ontbrekende toegangscontrole op de API waarmee de app met de servers van Polarsteps praat. Die interface deelde meer velden uit dan de app zelf toonde, controleerde niet of de opvrager wel recht had op die specifieke reis, en hield het tempo van de vragen niet tegen. FTM kon naar eigen zeggen alle data vanaf één ip-adres scrapen en gedurende maanden aanvullen, zonder enige belemmering.
Dat is het klassieke recept voor een datalek: geen rate limiting, geen anti-botmaatregelen, geen autorisatiecheck per object en een API die standaard te veel meegeeft. Polarsteps beweerde eerst dat er wel begrenzingen waren, maar gaf later toe dat die veel te weinig effect hadden. Ook de zogenaamde geheime deellinks bleken opvraagbaar.
Een tweede laag zit in de metadata. Polarsteps bewaarde de locatiegegevens uit foto’s en gaf die via de API mee. Wie zijn koffer nog thuis fotografeerde, publiceerde zo ongewild zijn woonadres met meterprecisie. Dit staat niet vermeld in het privacybeleid.
Van vakantiefoto tot inlichtingenbron
Voor gebruikers is de combinatie het probleem. Naam, geboortedatum, woonadres, werkplek, reisgenoten, geplande reisdata en een historische route vormen samen een dossier dat zich leent voor stalking, gerichte phishing, identiteitsfraude en klassieke inbraak: een reis die nog moet beginnen, vertelt precies wanneer het huis leeg staat. Doordat de API ook realtime posities gaf, was zelfs geofencing mogelijk.
Dat de risico’s niet theoretisch zijn, bleek uit het vervolgonderzoek van FTM naar militairen. Nederlandse, Belgische, Britse, Amerikaanse en Franse militairen waren te volgen van kazernes in Wezep, Havelte en Schaarsbergen naar het NAVO-kamp in Rukla (Litouwen) en de Amerikaanse bases Ramstein en Spangdahlem, inclusief hun woonadressen.
Nederland zette de app op een zwarte lijst voor militair personeel. Het kabinet van Belgisch minister van Defensie Theo Francken (N-VA) reageert via VRTNWS dat ‘het gebruik van applicaties waarmee locatiegegevens kunnen worden gedeeld verboden is in de omgeving van alle militaire installaties en tijdens militaire operaties’.
In strijd met GDPR
Polarsteps betwist dat het om een datalek gaat, omdat er geen wachtwoorden of inloggegevens van accounts zijn uitgelekt. Maar van goede naleving van de GDPR-wetgeving kan je hier ook niet spreken. Transparantie over welke gegevens zichtbaar kunnen zijn, is een belangrijk gegeven in de Europese privacywetgeving, zelfs al dreigt de EU die af te zwakken. In het verleden kreeg Meta boetes opgelegd omdat gegevens van gebruikers konden geschraapt worden van Facebook-profielen.
“Als voor mensen niet duidelijk is wat er in de praktijk met hun gegevens gebeurt, heeft Polarsteps onvoldoende uitgelegd wat ze doen”, zegt Floor Terra aan FTM, inspecteur voor de Nederlandse Autoriteit Persoonsgegevens. Het hoofdkantoor van Polarsteps is gevestigd in Amsterdam, dus in principe is de Nederlandse privacywaakhond bevoegd om het bedrijf op de vingers te stikken. Dit kan dus nog een staartje krijgen voor Polarsteps.
Schuldig verzuim
De tijdlijn spreekt al helemaal niet in het voordeel van Polarsteps. De Franse securityonderzoeker Louis Couderc meldde het probleem in het najaar van 2025, nadat hij tijdens een reis in Thailand kennis maakte met de app. Polarsteps liet aan Couderc weten dat het probleem intern al gekend was, maar nam geen maatregelen. “Dan ben je gewoon nalatig”, zegt Marc Schuilenburg, hoogleraar Digital Surveillance aan de Erasmus Universiteit Rotterdam in het onderzoek.
Polarsteps zegt de AP inmiddels ingelicht te hebben. Dat is een half jaar na de eerste melding van het lek, terwijl de GDPR een meldingsplicht binnen de 72 uur oplegt. Belgische gebruikers kunnen klacht indienen bij de Gegevensbeschermingsautoriteit, maar het dossier loopt via Nederland.
CEO Clare Jones houdt het verder bij een mededeling dat het bedrijf werkt aan betere beveiliging. De app scherpte de rate limiting aan, beperkt de data die via de API vertrekt, deelt fotolocaties niet langer standaard en vraagt expliciet toestemming voor tracking. Wie de app gebruikt, denkt beter twee keer na wat ermee te delen.