Datalek bij reisapp Polarsteps: gegevens van 23 miljoen mensen, onder wie 1 miljoen Belgen, op straat

Polarsteps begon als een hobbyproject van vier Nederlandse vrienden. De app kende de afgelopen jaren een enorme groei: in 2019 telde ze 1 miljoen gebruikers, vandaag zijn dat er 23 miljoen.

Het gebruik is eenvoudig. Tijdens een reis kan je elke dag een nieuwe 'step' op de wereldkaart plaatsen: een geschreven verslag waaraan je foto's kan toevoegen. Aan het einde van je reis krijg je een overzicht van de route die je hebt afgelegd. 

Nu blijkt dat die avonturen niet alleen voor het thuisfront zichtbaar waren. Journalisten van FTM ontdekten dat Polarsteps niet zo goed beveiligd was als de app deed uitschijnen. Zelfs wanneer gebruikers hun profiel alleen deelden met hun volgers, lagen hun gegevens voor het grijpen.

Een Franse cybersecurityonderzoeker ontdekte de beveiligingslekken en tipte FTM. Die konden op hun beurt ongestoord toegang krijgen tot foto's, video's en gps-gegevens van 23 miljoen gebruikers, onder wie 904.000 Belgen. Polarsteps zou in december 2025 al op de hoogte zijn geweest van het lek.

Apps zoals Polarsteps maken gebruik van een zogenaamde API (application programming interface).

"Dat is als het ware het stukje dat tussen de servers en de data zit", vertelt cybersecurityexpert Eddy Willems. "Bij veel apps vandaag is dat een groot probleem. Hoe meer gegevens in je app zitten, hoe complexer de API wordt."

Daar knelde dus ook het schoentje bij Polarsteps. Onderzoekers van FTM konden gps-locaties downloaden, waarmee ze de identiteit van gebruikers konden achterhalen, maar ook hun naam, woonplaats en werkplek.

Ook geplande trips konden de onderzoekers bijvoorbeeld inkijken. Zo konden ze zien wanneer iemand van plan was op vakantie te vertrekken.

Verder ontdekten ze bijvoorbeeld dat je ongewenste volgers wel van je profiel kan weren, maar dat ze toegang behouden zodra ze de rechtstreekse link naar je reis hebben. 

Onder de 23 miljoen gebruikers bevonden zich ook militairen. De journalisten konden daardoor eveneens gevoelige militaire informatie achterhalen, zoals gegevens over een militair transport.

Sommige militairen hadden nochtans hun uiterste best gedaan om onzichtbaar te blijven, bijvoorbeeld door niet hun eigen naam te gebruiken. Toch kon FTM hun volledige namen en geboortedata achterhalen.

Het gaat om tientallen militairen uit onder meer de Verenigde Staten, het Verenigd Koninkrijk, Nederland, Frankrijk en België.

Experts waarschuwen aan FTM dat dit soort informatie goud waard is voor buitenlandse inlichtingendiensten: "Die kunnen dit gebruiken om te zien waar iemand woont en of die thuis is, maar ook voor chantage."

Het Nederlandse ministerie van Defensie liet alvast weten Polarsteps op de 'zwarte lijst' te zetten. De app kan daardoor niet meer worden geïnstalleerd op defensieapparaten. Als de app er al op staat, wordt die verwijderd.

In ons land laat het kabinet van minister Theo Francken weten aan VRT NWS dat er duidelijke richtlijnen gelden: "Defensie is zich bewust van de veiligheidsrisico's die verbonden zijn aan applicaties die locatiegegevens verzamelen, registreren, verwerken of delen. Het gebruik van applicaties waarmee locatiegegevens kunnen worden gedeeld is verboden in de omgeving van alle militaire installaties en tijdens militaire operaties." 

Het kabinet benadrukt verder sterk in te zetten op preventie, opleiding en sensibilisering.

CEO Clare Jones erkende tegenover FTM dat er fouten zijn gemaakt bij de bescherming van de privacy van gebruikers: "We zijn hard aan het werk om te begrijpen wat er bij ons fout is gegaan en om de veiligheid te verbeteren."

Naar aanleiding van de bevindingen van FTM voerde Polarsteps naar eigen zeggen meteen een reeks maatregelen door. Zo stelde het bedrijf voor alle gebruikers nu standaard in dat zij toestemming moeten geven om zich te laten volgen. 

Het volledige onderzoek van Follow the Money is hier te lezen.