De in Nederland opgerichte en wereldwijd populaire reisapp Polarsteps heeft zeker een halfjaar de gegevens van zijn gebruikers onvoldoende beschermd. Onderzoeksplatform Follow The Money (FTM) ontdekte dat via een lek in de beveiliging van de app reisinformatie van miljoenen reizigers kon worden verzameld, ook van diegenen die hun account op privé hadden gezet. Het idee van je account op privé zetten is juist dat gebruikers zelf kunnen bepalen wie meekijkt met de reis. FTM achterhaalde desondanks de namen van 23 miljoen internationale gebruikers, kon honderden miljoenen foto's inzien en had toe
Exploiteerbaarheid: geen exploit bekend. Blootstelling: niet internet-facing / geen bekende blootstelling. Gemeentelijke relevantie: geen match met de gemeentelijke context. Impact: persoonsgegevens betrokken. Bronvertrouwen: middel.
Scorecomponenten
geen exploit bekend
niet internet-facing / geen bekende blootstelling
geen match met de gemeentelijke context
persoonsgegevens betrokken
beperkt bevestigd
geen mitigatie bekend
Geen automatische bestuurlijke escalatie — operationeel op te volgen.
Prioriteit: laag
Aanbevolen reactietijd: reguliere patchcyclus
Laag (16/100) — reguliere patchcyclus. Bepalend: technische ernst (28/100) en gemeentelijke relevantie (15/100). Meelopen in de reguliere patch- en beheercyclus volstaat. Deze prioritering is regelgebaseerd en navolgbaar; weeg de aannames en onzekerheden mee voor de eigen gemeentelijke omgeving.
laag — De technische ernst is beperkt.
laag — Er zijn geen concrete aanwijzingen voor misbruik.
laag — De relevantie voor de gemeentelijke omgeving lijkt beperkt.
laag — Monitoren volstaat; er is geen directe actie nodig.
Positieve factoren
De categorie 'data_leak' verhoogt de technische ernst.
Bron: Categorisering door de verrijkingspijplijn
Negatieve factoren
De zekerheid is 'unconfirmed'; een onbevestigd signaal verlaagt de urgentie tot het is geverifieerd.
Bron: Zekerheidsinschatting van de radar
Aannames
Onzekerheden
Deze prioritering is regelgebaseerd en navolgbaar. Een CISO kan deze onderbouwing gebruiken richting directie of ICT-management; stem de opvolging af op de eigen gemeentelijke omgeving.
8 concrete acties verdeeld over 6 rol(len). Aanbevolen reactietijd: reguliere patchcyclus.
Taken voor CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Stem met de Privacy Officer en communicatie af wat en wanneer wordt gecommuniceerd.
CISO
Laat vaststellen of de getroffen component of het proces binnen de gemeente in gebruik is.
Bewijs vereist: Bevestiging in/uit gebruik door ICT-beheer.
Wijs per actie een eigenaar en deadline toe en bewaak dat de acties worden afgerond.
Stem met de Privacy Officer en communicatie af wat en wanneer wordt gecommuniceerd.
ISO / patchmanagement
Controleer of een patch of mitigatie beschikbaar is en bepaal de deadline voor opvolging.
Bewijs vereist: Patch- of mitigatieoverzicht met versienummers.
ICT-beheer
Breng in kaart welke systemen, applicaties of accounts de kwetsbare component bevatten.
Bewijs vereist: Lijst van geraakte systemen uit de CMDB of inventaris.
Functioneel beheer
Controleer of de geraakte applicatie of koppeling extra aandacht nodig heeft.
Privacy Officer
Toets of er persoonsgegevens betrokken zijn en of een melding bij de AP of de betrokkenen nodig is.
Bewijs vereist: Vastgelegde afweging van de meldplicht.
Proceseigenaar
Beoordeel wat de dreiging betekent voor de continuiteit van het geraakte proces.
De acties zijn regelgebaseerd gegenereerd. Stem ze af op de eigen gemeentelijke omgeving en wijs per actie een eigenaar en deadline toe.
Relevante logbronnen
MITRE ATT&CK — tactieken
MITRE ATT&CK — technieken
Huntingvragen
KQL-huntingqueries (Microsoft Sentinel)
Massale downloads van documenten
Toont gebruikers die in korte tijd ongebruikelijk veel bestanden downloaden - mogelijke exfiltratie.
// Massale downloads van documenten (mogelijke exfiltratie)
OfficeActivity
| where TimeGenerated > ago(1d)
| where Operation in ("FileDownloaded", "FileSyncDownloadedFull")
| summarize Downloads = count() by UserId, bin(TimeGenerated, 1h)
| where Downloads > 100
| order by Downloads descFalse positives: Legitieme migraties, back-ups en offline-synchronisatie veroorzaken downloadpieken.
Indicators of compromise
Geen IOC's herkend in de openbare dreigingstekst. IOC's kunnen later via een threat-intelfeed worden aangevuld.
False-positive-aandachtspunten
Legitieme migraties, back-ups en bulkbewerkingen veroorzaken downloadpieken. Verifieer met de gebruiker.
Deze informatie is uitsluitend defensief: detectie en hunting. De KQL-queries zijn read-only en bedoeld voor Microsoft Sentinel.
Vragenlijst
E-mailonderwerp
Uitvraag beveiligingsmelding — reactie gevraagd
E-mailtekst
Geachte heer/mevrouw, Naar aanleiding van een beveiligingsmelding doet onze gemeente een uitvraag bij u als leverancier. Deze uitvraag dient ter verificatie en feitenvaststelling: wij willen vaststellen of en in welke mate de aan onze gemeente geleverde dienstverlening wordt geraakt. Het exacte product of onderdeel is bij ons nog niet vastgesteld; wij vernemen dit graag van u. Wij verzoeken u de onderstaande vragen volledig en onderbouwd te beantwoorden en uw reactie binnen tien (10) werkdagen na ontvangst van dit bericht schriftelijk aan te leveren bij de informatiebeveiligingsfunctie van onze gemeente. Zijn bepaalde gegevens nog niet beschikbaar, dan ontvangen wij graag een tussentijdse terugkoppeling. Vragen: 1. Gebruikt u de kwetsbare component of het geraakte product? 2. Welke versies zijn bij u in gebruik? 3. Is de kwetsbaarheid van toepassing op de dienstverlening aan onze gemeente? 4. Is de kwetsbaarheid inmiddels gepatcht? 5. Zo ja, op welke datum is de patch doorgevoerd? 6. Zo nee, welke mitigerende maatregelen zijn genomen? 7. Is er actief misbruik van de kwetsbaarheid geconstateerd? 8. Is er logging of forensisch onderzoek uitgevoerd? 9. Is er sprake van een risico op een datalek? 10. Wanneer verwacht u een definitieve oplossing door te voeren? 11. Welke restrisico's blijven na de oplossing bestaan? 12. Welke communicatie mogen wij richting onze interne stakeholders gebruiken? Deze uitvraag is bedoeld om de feiten vast te stellen en gezamenlijk tot een passende opvolging te komen. Wij stellen uw tijdige medewerking op prijs. Met vriendelijke groet, [Naam] Namens de informatiebeveiligingsfunctie Gemeente [Gemeente]
Vul vóór verzending de afzender en gemeentenaam in. De tekst is zakelijk en gericht op feitenvaststelling; pas hem aan op de eigen situatie.
Deze dreiging raakt de onderstaande governance-thema's. Met de aanbevolen bewijsstukken kunt u aantonen dat het signaal is opgevolgd — bruikbaar voor BIO2, NIS2/CBW, ISMS en de ENSIA-verantwoording.
Een (mogelijk) datalek vraagt om gestructureerde opvolging.
Aanbevolen bewijs: Incidentregistratie en de uitgevoerde beoordeling.
Logging is nodig om de omvang van een mogelijk datalek vast te stellen.
Aanbevolen bewijs: Logonderzoek met conclusie over de omvang.
Bij een datalek kan een meldplicht bij de Autoriteit Persoonsgegevens en de betrokkenen gelden.
Aanbevolen bewijs: Afweging en eventuele melding, vastgelegd door de Privacy Officer.
De dreiging en de opvolging ervan horen thuis in de periodieke rapportage aan het management en de directie.
Aanbevolen bewijs: Vermelding in de CISO- of directierapportage informatiebeveiliging.
De radar legt de beoordeling, prioritering en opvolging navolgbaar vast.
Aanbevolen bewijs: Scoringonderbouwing, actiekaart en statusgeschiedenis uit de radar.
Een datalek toetst de effectiviteit van de beheersmaatregelen (Check).
Aanbevolen bewijs: Evaluatie van de oorzaak en de aangepaste maatregelen.
Aantoonbare opvolging draagt bij aan de jaarlijkse ENSIA-verantwoording over de BIO.
Aanbevolen bewijs: Overzicht van opgevolgde dreigingen voor de ENSIA-zelfevaluatie.
De in Nederland opgerichte en wereldwijd populaire reisapp Polarsteps heeft zeker een halfjaar de gegevens van zijn gebruikers onvoldoende beschermd. Onderzoeksplatform Follow The Money (FTM) ontdekte dat via een lek in de beveiliging van de app reisinformatie van miljoenen reizigers kon worden verzameld, ook van diegenen die hun account op privé hadden gezet. Het idee van je account op privé zetten is juist dat gebruikers zelf kunnen bepalen wie meekijkt met de reis. FTM achterhaalde desondanks de namen van 23 miljoen internationale gebruikers, kon honderden miljoenen foto's inzien en had toegang tot miljarden gps-locaties van miljoenen Polarsteps-reizen. Woonadressen ontdekt Dit kon met behulp van de zogeheten Application Programming Interface (API) van de gratis te downloaden app. Normaal gesproken is dit gedeelte afgeschermd en niet toegankelijk, maar met de servers van Polarsteps kon iedereen eenvoudig verbinding maken, schrijft FTM. Op die manier konden journalisten ook accounts volgen die afgeschermd waren, zonder dat de gebruikers hier toestemming voor hadden gegeven. Binnen een paar maanden had FTM bakken aan informatie binnengehaald, waaronder zelfs de woonadressen van vele gebruikers. Als een gebruiker uiteindelijk ontdekte dat FTM zich ongewenst als volger had gemeld en FTM vervolgens verwijderde, was het probleem nog niet opgelost. FTM bleef door de lekke API gewoon toegang houden tot de gegevens van de reiziger. Fransman vertrouwde Polarsteps niet De problemen kwamen in oktober 2025 aan het licht dankzij de Fransman Louis Couderc, in het dagelijks leven cybersecurityonderzoeker. Tijdens een reis door Zuidoost-Azië werd hij door andere reizigers op Polarsteps gewezen. Nadat hij de app had geïnstalleerd, ontdekte hij al snel dat hij via de API niet alleen reizigers kon volgen die hij mocht volgen, maar ook duizenden andere gebruikers. Hij meldde het lek bij Polarsteps, schrijft FTM, maar kreeg als antwoord dat dit al bij het bedrijf bekend was. De Fransman vermoedde dat zijn waarschuwing niet serieus werd genomen en speelde zijn bevindingen vervolgens door aan FTM. De journalisten konden uiteindelijk nog maandenlang grote aantallen reizigers ongestoord volgen. Gebruikers beter beveiligen In een reactie benadrukt Polarsteps dat er geen wachtwoorden zijn buitgemaakt en dat FTM geen toegang kreeg tot accounts. Het bedrijf zegt in contact te staan met de Autoriteit Persoonsgegevens, de organisatie die toezicht houdt op de naleving van privacywetten.
Categorie 'data_leak' op basis van trefwoord 'datalek'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'unconfirmed': afgeleid van de betrouwbaarheidsscore van de bron (0.6). Geen bekende leveranciers of producten herkend.
Deze dreiging scoort 15/100 voor de gemeentelijke relevantie. Meegewogen: impact op persoonsgegevens. Geraakte processen: Vergunningverlening.
Bestuurlijke duiding
Deze dreiging heeft een beperkte gemeentelijke relevantie. Bij een datalek met persoonsgegevens gelden meldplichten richting de Autoriteit Persoonsgegevens en de betrokkenen. Reguliere opvolging door ICT-beheer en de ISO volstaat; bestuurlijke betrokkenheid is op dit moment niet nodig.
Geraakte processen
Betrokken rollen
CISO · ISO · Functioneel beheer · Privacy Officer · Proceseigenaar
Concrete stappen voor ICT-beheer en het securityteam.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Deel geen vertrouwelijke of persoonsgegevens in dit formulier. Beschrijf je melding algemeen; gevoelige details horen niet op een publieke radar thuis.