Groot lek bij Polarsteps: reisgegevens en foto's van miljoenen gebruikers toegankelijk

Zelfs informatie van gebruikers die hun reizen alleen met vrienden en volgers delen, bleek volgens FTM toegankelijk.

De Franse cybersecurity-onderzoeker Louis Couderc ontdekte het lek eind vorig jaar. Kort nadat hij Polarsteps had gedownload, vroeg hij zich af welke gegevens de app precies met anderen deelde. Via de achterkant van de app kreeg hij toegang tot zijn eigen gegevens, maar ontdekte hij ook dat gegevens van duizenden andere gebruikers bereikbaar waren.

Couderc waarschuwde Polarsteps en stuurde het bedrijf een uitgebreid rapport. Volgens FTM kreeg hij te horen dat de problemen intern al bekend waren. Omdat hij vond dat er onvoldoende met zijn melding werd gedaan, stapte hij naar Follow the Money.

Meer dan een miljard locatiepunten

FTM onderzocht vervolgens hoe groot het probleem was. De journalisten zeggen dat ze gegevens van meer dan 23 miljoen gebruikers konden downloaden.

Polarsteps gebruikt een zogenoemde API (Application Programming Interface): een verbinding tussen de app en de servers van het bedrijf. Volgens FTM was die verbinding onvoldoende beveiligd. Daardoor konden grote hoeveelheden gegevens worden opgevraagd.

Een belangrijk deel daarvan bestaat uit locatiegegevens. Gebruikers die livetracking aanzetten, delen volgens FTM iedere vijf tot tien minuten hun exacte locatie met de servers van Polarsteps.

FTM kon naar eigen zeggen meer dan een miljard locatiepunten van bijna twee miljoen reizen verzamelen en op een digitale kaart zetten. Daardoor waren veel reizen vrijwel realtime te volgen.

Door locaties waar gebruikers regelmatig terugkeerden te combineren, konden de onderzoekers ook nog eens van veel mensen het woonadres achterhalen.

Ook foto's bereikbaar

Ook toekomstige reizen waren zichtbaar. FTM kon meldingen instellen voor wanneer een gebruiker een bepaald gebied binnenkwam. Zo kon bijvoorbeeld worden gezien wanneer een alleenreizende kampeerder op een geplande bestemming aankwam.

Het lek bleef volgens FTM niet beperkt tot locatiegegevens. Via de API konden de onderzoekers ook ongeveer 230 miljoen foto's en video's van gebruikers ophalen.

Daarbij bleek ook de exacte locatie van sommige foto's beschikbaar. Zo konden onderzoekers bijvoorbeeld het huisadres achterhalen van iemand die thuis een foto van zijn koffers had gemaakt voordat die persoon op reis ging. Volgens FTM staat in het privacybeleid van Polarsteps niet duidelijk vermeld dat deze fotolocaties worden opgeslagen, verwerkt of gedeeld.

Dat roept volgens de onderzoekers extra vragen op. FTM had eerder zelf bij Polarsteps opgevraagd welke persoonsgegevens het bedrijf over de journalisten had opgeslagen. In het ontvangen bestand stonden volgens FTM geen locaties van foto's, terwijl die informatie via de API wel toegankelijk was.

Reactie Polarsteps

Polarsteps zegt tegen FTM verrast te zijn dat op zo'n grote schaal gegevens konden worden verzameld. Het bedrijf heeft naar eigen zeggen de beveiliging inmiddels aangescherpt en onderzoekt verdere maatregelen. 

Volgens Polarsteps was een deel van de gevonden informatie openbaar omdat gebruikers er zelf voor hadden gekozen die te delen. Ook onderzoekt het bedrijf hoe het kan voorkomen dat gebruikers vergeten hun tracking uit te zetten wanneer ze weer thuis zijn.