Polarsteps reactie op Follow The Money: géén datalek

'Follow the Money heeft recentelijk een onderzoek naar Polarsteps gedaan. Hierin claimen ze dat er een datalek is geweest, maar we willen er graag duidelijk over zijn dat dit incorrect is. FTM heeft alleen toegang gekregen tot publieke tripdata en voor zover wij weten is er geen sprake geweest van een datalek.

Om misverstanden te voorkomen: alle data van trips die nooit op ‘openbaar’ zijn gezet door onze gebruikers, is privé gebleven, en er is geen authenticatie omzeild. Dat wil zeggen: er zijn geen wachtwoorden gelekt en niemand heeft toegang gekregen tot een Polarsteps-account of privétrips.

De journalisten hebben openbare tripdata gevonden, waarbij gebruikers actief gekozen hebben voor het delen van hun trips en content, evenals informatie die openbaar is in Polarsteps zodat gebruikers elkaar kunnen vinden (naam, profielfoto, gemeenschappelijke volgers). Je kunt hier op onze supportpagina zien welke informatie dit is.

FTM heeft ook profielen gevolgd waarvan de privacy-instelling voor ‘Wie mag mij volgen’ op ‘Iedereen’ stond in plaats van ‘Alleen mensen die ik accepteer’. Hierdoor konden ze de trips zien van volgers, omdat ze zelf volger waren geworden van deze accounts. 

Polarsteps biedt gebruikers de keuze om hun volgers automatisch te accepteren, of eerst goed te keuren. De standaardinstelling is dat gebruikers hun volgers moeten goedkeuren. Sommige mensen (zoals reisjournalisten en content creators die hun reizen willen delen ter inspiratie) kiezen ervoor de standaard privacy-instelling aan te passen en automatisch nieuwe volgers te accepteren.

FTM heeft deze instelling, het automatisch accepteren van volgers, gebruikt om gebruikersaccounts te volgen met deze instelling. Ze hebben geen privacy-instellingen omzeild. Ze konden vervolgens trips die ingesteld waren op ‘Alleen volgers’ zien, voor de accounts die automatisch volgers accepteren (een zeer klein deel van alle Polarsteps-gebruikers). Er zijn hierdoor geen privégegevens gelekt of gedeeld.

Je kunt hier meer lezen over de privacy-opties en automatische instellingen, die altijd ingesteld staan op ‘privé’ of ‘alleen volgers’, nooit op openbaar. 

In het FTM-artikel staat dat een security-onderzoeker zes maanden geleden problemen heeft aangekaart bij Polarsteps. Ter verduidelijking: we hebben het verslag van deze onderzoeker toentertijd gelezen en waren al bezig om de dingen die werden aangekaart op te pakken. Het klopt niet dat we op de hoogte waren van veiligheidsproblemen en er niets aan hebben gedaan.

FTM’s onderzoek heeft echter wel een aantal punten laten zien rondom veiligheid waar we het beter hadden kunnen doen en we hebben dit serieus genomen, aangezien we gebruikersveiligheid ontzettend belangrijk vinden. We hebben deze punten al aangepakt. We hebben nog striktere API-controles geïmplementeerd om grootschalige toegang tot onze publieke gebruikersdata te voorkomen. Tevens hebben we de bescherming van geheime links (waarmee gebruikers trips kunnen delen met mensen die hen niet volgen) versterkt.

Ook zijn we continu bezig met het doorvoeren van verbeteringen om gebruikers te helpen begrijpen wat privé en wat openbaar is in hun Polarsteps-trips en dit zullen we blijven doen. Zo hebben we in de afgelopen jaren, voor FTM’s onderzoek, al extra privacy-features toegevoegd in onze app. Zoals eerder dit jaar de opties voor het verbergen van je start/eindlocatie en het verbergen van je huidige locatie. 

Gebruikersprivacy en -veiligheid is ontzettend belangrijk voor ons team en zodra we op de hoogte zijn van problemen, reageren we hier gelijk op, zoals we in dit geval hebben gedaan.'