FTM scrapet gegevens van 23 miljoen Polarsteps-gebruikers via open API

Onderzoeksplatform Follow the Money downloadde via de open API van de Nederlandse reisapp Polarsteps de namen, foto's en gps-locaties van ruim 23 miljoen gebruikers. Polarsteps bestrijdt dat het om een datalek gaat.

Voor elk bedrijf met een eigen app of klantportaal zit de kern in dat woord open. De API van Polarsteps deed waarvoor hij bedoeld was, en juist daarom kon FTM maandenlang data blijven ophalen zonder ook maar een wachtwoord te kraken. Hoeveel een niet-ingelogde bezoeker per verzoek mag opvragen, en hoe vaak per minuut, is een ontwerpkeuze in je eigen code. Staat die te ruim, dan is er geen inbraak nodig om je complete gebruikersbestand te verliezen, en toetst de Autoriteit Persoonsgegevens achteraf of je die gegevens passend had beveiligd.

23 miljoen profielen, een miljard gps-punten

FTM kon de gegevens van ruim 23 miljoen internationale gebruikers downloaden, inclusief namen, foto's en informatie over vrienden en familie. Daarbij zaten 230 miljoen foto's en video's en ongeveer een miljard gps-punten uit bijna twee miljoen reizen. Ook meer dan een miljoen reizen die alleen met volgers waren gedeeld, bleken te benaderen. Uit de locatiegegevens bij foto's leidde de redactie van tientallen mensen het woonadres af.

Het ophalen ging maandenlang door zonder dat er iets blokkeerde. FTM kon alle data vanaf een enkel ip-adres scrapen en die maanden achtereen aanvullen, zonder enige belemmering. De gegevensbescherming schoot daarmee minstens een half jaar tekort, en zelfs nadat FTM als volger was verwijderd bleef de API gegevens teruggeven.

Polarsteps noemt het publieke data, geen inbreuk

Het Amsterdamse bedrijf bestrijdt de kwalificatie datalek. In een verklaring op de eigen site schrijft Polarsteps dat er geen authenticatie is omzeild en niemand toegang kreeg tot een account of een prive reis. Wat FTM ophaalde was volgens het bedrijf publieke profieldata: naam, profielfoto en gedeelde volgers, informatie die openbaar is zodat gebruikers elkaar in de app kunnen vinden. De reizen die alleen voor volgers zichtbaar waren, kon FTM zien omdat die accounts de instelling anyone can follow me aan hadden staan, waardoor volgverzoeken automatisch worden geaccepteerd.

Tegelijk erkent Polarsteps drie punten en zegt het die inmiddels te hebben opgelost. De rate limiting bleek niet streng genoeg om grootschalig ophalen te remmen. Een kwetsbaarheid in de secret link maakte het in theorie mogelijk om de deellink te reconstrueren van een reis die eerst op Everyone stond en later op Followers werd gezet; op 20 augustus 2026 liet het bedrijf alle bestaande secret links vervallen. En elk profiel is teruggezet naar de standaardinstelling waarbij je volgers zelf moet goedkeuren. Over de meldplicht laat Polarsteps weten dat het over de bevindingen in contact staat met de Autoriteit Persoonsgegevens, maar dat er naar zijn beste weten geen datalek heeft plaatsgevonden.

CEO Clare Jones is tegenover FTM minder stellig: "We zijn hard aan het werk om te begrijpen wat er bij ons fout is gegaan en om de veiligheid te verbeteren. Want we zijn het er allemaal over eens dat jullie niet degenen hadden moeten zijn geweest die dit ontdekten, dat hadden wij zelf moeten zijn."

De melder was een toerist met een telefoon

Het probleem kwam niet uit een audit. De Franse beveiligingsonderzoeker Louis Couderc installeerde de app in oktober 2025 tijdens een reis door Zuidoost-Azie en zag meteen hoeveel de backend prijsgaf. In december 2025 meldde hij zijn bevindingen bij Polarsteps. Het bedrijf zegt dat het toen al aan die punten werkte en dat het niet klopt dat het van de problemen wist en niets deed. Couderc vond de reactie te mager en stapte naar FTM, dat in juli 2026 zijn eigen onderzoek uitvoerde.

Wat publiek is en wat publiek zou moeten zijn

De discussie gaat niet over een gekraakt wachtwoord maar over een definitie. De AP stelt in haar handreiking over scraping dat daarbij bijna altijd persoonsgegevens worden verzameld en dus privacyrisico's ontstaan, en tegen FTM zei de toezichthouder dat een platform een zekere verantwoordelijkheid heeft om te voorkomen dat anderen zomaar persoonsgegevens verzamelen. Dat verschuift het zwaartepunt naar de vraag of jij het ophalen had moeten tegenhouden.

Het patroon is niet nieuw. Eerder haalde een enkele server sinds maart 2025 ruim 560.000 keer bedrijfsdata op uit verkeerd ingestelde Salesforce- en ServiceNow-portalen zonder ook maar een kwetsbaarheid te misbruiken. En de app-eigenaar blijft verwerkingsverantwoordelijke voor alles wat er uitstroomt, ook voor code die hij niet zelf schreef, zoals bleek toen vier advertentie-SDK's de locatie van Android-gebruikers standaard bleken door te sturen zodra de app zelf locatietoestemming had.

Gaat het toch mis, dan geldt een meldtermijn van 72 uur bij de AP, een route die in 2025 39.407 keer werd bewandeld. Polarsteps kiest die route niet en houdt vol dat er niets gelekt is. Wie er gelijk heeft, hangt af van de vraag of een profielveld dat je in je API openzet daarmee ook publiek is in de zin van de AVG. Dat oordeel ligt nu bij de toezichthouder, en het antwoord raakt iedere organisatie die een app of portaal met een open eindpunt in de lucht houdt.