Polarsteps kullanıcılarının seyahatleri takip edilebiliyordu

Follow the Money (FTM) araştırma platformu, ücretsiz indirilebilen Polarsteps uygulamasındaki milyonlarca kullanıcının seyahatlerinin izlenebildiğini ortaya çıkardı. Uygulamanın Application Programming Interface (API) adı verilen ve sistemlerin veri alışverişini sağlayan arayüzü sayesinde, kullanıcıların gizlilik ayarlarıyla korumaya çalıştığı bilgilere erişilebildi.

Polarsteps, kullanıcıların birbirlerini bulabilmesi için bilinçli olarak herkese açık bir API kullanıyor. Ancak FTM editörleri, bu açık API aracılığıyla kullanıcıların yalnızca takipçileriyle paylaştığını düşündüğü seyahat rotalarını bile görüntüleyebildi. Kullanıcıların bu duruma izin vermediğini belirten araştırmacılar, toplamda 1 milyardan fazla GPS konumunu haritaya işleyerek kullanıcıları adım adım izleyebildi.

Milyonlarca fotoğraf ve ev adresleri

FTM, ayrıca 230 milyon fotoğraf ve videoyu indirerek, bu medya dosyalarının konum bilgileri sayesinde onlarca kullanıcının ev adresini tespit etti. Hatta araştırmacılar, belirli bir kullanıcının bir bölgeye giriş veya çıkış yaptığında otomatik bildirim alacak şekilde sistemi ayarlayabildi. Bu sayede örneğin bir kampçının çadırını gerçekten planladığı yere kurup kurmadığını gözlemlemek mümkün oldu.

Polarsteps, NU.nl'ye yaptığı açıklamada bu durumu bir veri sızıntısı olarak görmediğini söyledi. Şirket, FTM'nin eriştiği bilgilerin kullanıcılar tarafından açıkça paylaşıldığını ve bu nedenle bunun bir 'sızıntı' olmadığını savundu. Açıklamada, "Burada özel veriler söz konusu değil. Kullanıcıların uygulamada birbirlerini bulabilmesi ve arkadaşlarını takip edebilmesi için isim, profil fotoğrafı ve karşılıklı takipçiler gibi bilgileri aramaları gerekiyor. FTM, yalnızca zaten herkese açık olan bu bilgileri indirdi. Hiçbir şifre sızmadı ve kimse kullanıcıların hesaplarına erişemedi," ifadelerine yer verildi.

Güvenlik açığı kabul edildi

Şirket, bu nedenle bunu 'varsayımsal bir güvenlik açığı' olarak adlandırmayı tercih ediyor. Ancak Polarsteps, belirli bir senaryoda sorun olduğunu kabul etti. Kullanıcılar bir seyahatini önce 'herkese açık' olarak kaydedip daha sonra ayarını 'yalnızca takipçiler' olarak değiştirdiğinde, eski bağlantı üzerinden içeriğin erişilebilir durumda kaldığını doğruladı. Bu durumun nadir yaşandığını belirten şirket, bunun gerçek bir hata olduğunu kabul etti.

Polarsteps, ayrıca kısa sürede çok fazla veri çekilmesini engelleyen 'rate limiting' mekanizmasının yetersiz kaldığını da itiraf etti. Bu zayıflık sayesinde FTM, tek bir bilgisayardan birkaç ay içinde 1 milyardan fazla GPS konumunu ve 230 milyon fotoğrafı sistem engellemesi olmadan indirebildi. Şirket, güvenlik önlemlerini güçlendirdiğini ve bulguları Hollanda Veri Koruma Otoritesi (Autoriteit Persoonsgegevens) ile paylaştığını açıkladı.