هل تطبيق Strava آمن؟ يخفي منزلك، لكن الباحثين عثروا عليه

في عام 2023، قبل ساعات قليلة من وصول جو بايدن إلى فندق في سان فرانسيسكو حيث أقام لمحادثات مع شي جين بينغ، خرج أحد عناصر جهاز الخدمة السرية في جولة جري من ذلك الفندق وسجّلها على Strava. ووجدت صحيفة Le Monde الفرنسية تلك الجولة، بحسب ما ذكرت وكالة Associated Press، وذلك أثناء تتبعها الملفات العامة على Strava لـ26 عنصرًا من جهاز الخدمة السرية، و12 عضوًا من مجموعة الحماية الرئاسية الفرنسية، وستة أعضاء من دائرة الحماية الفيدرالية الروسية.

لم يكن شيء في تلك الجولات غير معتاد. أما Strava فيعرض أنشطة البالغ للجميع ما لم يُغيَّر الإعداد، وغالبًا ما تكون نقطة البداية التي يتكرر منها المسار منزلًا أو مكان عمل. ويتيح Strava طرقًا لإخفاء مكان بداية المسار ونهايته. يتناول هذا الدليل ما حدث حين حاول الباحثون تجاوز وسائل الإخفاء هذه، وما الذي قد تكشفه الخريطة الحرارية لـ Strava، وأي الإعدادات تبقي عنوانك خارج الخريطة فعلًا.

تقول Strava إن لديها أكثر من 195 مليون رياضي في أكثر من 185 دولة، ويسرد مركز المساعدة لديها إعدادات الخصوصية الافتراضية التي يبدأ بها كل حساب بالغ جديد. فالملف والأنشطة والأنشطة الجماعية مرئية لـالجميع. أما Flyby، الذي يعرض نشاطك إلى جانب أنشطة آخرين قريبين منك، فمضبوط على No One. ويُخفي Map Visibility أول 200 متر وآخرها من خرائط الأنشطة المستقبلية.

يُظهر النشاط العام المسار على الخريطة، ووقت حدوثه، والمسافة التي قطعها. النشاط الواحد خط، أما بضعة أشهر منها فتشكّل روتينًا، ونقطة بداية لا تكاد تتحرك. وتبدأ الحسابات التي فتحها من هم دون 18 عامًا بإعدادات أكثر صرامة، وسنغطي ذلك لاحقًا.

الخريطة الحرارية التي أصدرتها Strava في نوفمبر 2017 رسمت مليار نشاط، وأكثر من 3 تريليونات نقطة GPS بحسب الشركة، على شكل خطوط متوهجة فوق خريطة داكنة. وفي يناير 2018، أشار ناثان روزر، وهو محلل في معهد تحليل النزاعات المتحد، إلى أن القواعد الأمريكية «واضحة التحديد وقابلة للرسم». وفي أفغانستان وجيبوتي وسوريا، ذكرت صحيفة The Guardian أن مستخدمي Strava يكادون يكونون جميعًا من العسكريين الأجانب، لذلك بدت القواعد بارزة. وعند تكبير الخريطة على إحدى القواعد الكبيرة ظهر تخطيطها الداخلي مرسومًا بمسارات الجري للجنود.

اعتمد تحقيق Le Monde عام 2024 على ملفات فردية بدلًا من ذلك. فبتتبع جولات حراس إيمانويل ماكرون الشخصيين، وضع الرئيس الفرنسي في مدينة أونفلور لعطلة نهاية أسبوع خاصة عام 2021 لم تكن في برنامجه الرسمي. من جهتها، قالت دائرة الخدمة السرية الأمريكية لـ Le Monde: «لا نرى أن هناك أي تأثير على عمليات الحماية، ولا أي تهديد لمن نحميهم.»

وفي يوليو 2025 جاء الدور على السويد. فقد ذكرت صحيفة Dagens Nyheter أن سبعة أعضاء من جهاز الأمن في البلاد شاركوا جولات وركوبًا للدراجات كشفت عطلات العائلة المالكة الخاصة، بحسب ما أوردته NBC News. ووجدت الصحيفة في تقاريرها السابقة أن بيانات تمارين الحراس كشفت تفاصيل عن رئيس الوزراء أولف كريسترسون في 35 مناسبة على الأقل، شملت مسارات جريه ورحلاته إلى الخارج وعنوانه الخاص. وقالت Strava لـ NBC News إنه لم يكن هناك تسريب أو خرق لبيانات المستخدمين، وإنها تتوقع من المستخدمين في المهن الحساسة أن يستخدموا إعدادات الخصوصية المتاحة.

لم يتعرض Strava للاختراق في أي من هذه الحالات. فالأنشطة كانت عامة، وأماكن انطلاقها كشفت الباقي.

الصورة اليومية لذلك هي سرقة دراجة. ففي 2015، أخبر مارك ليه، وهو راكب دراجات من فايلزورث قرب مانشستر، صحيفة Manchester Evening News أن مرآبه تعرض للاقتحام صباح يوم تلا جولة سجّلها على Strava، وأُخذت دراجتاه، اللتان تبلغ قيمتهما 500 و1,000 جنيه إسترليني. ولم يُسرق شيء آخر، وظن أن اللصوص وجدوه عبر التطبيق. ولم يكن يعرف بوجود إعداد لإخفاء منزله، بحسب ما ذكرته صحيفة The Register.

اختبر باحثون هذا النوع من الإعدادات أكثر من مرة. ففي 2022، درس فريق من جامعة KU Leuven في بلجيكا مناطق الخصوصية في Strava: دوائر حول عنوان محمي، يُخفى داخلها المسار عن الآخرين. واعتمد هجومهم على ثلاثة أشياء يستطيع أي شخص رؤيتها: خريطة الشوارع، والنقاط التي يتقاطع فيها المسار مع الدائرة المخفية، وأرقام المسافات التي ما زالت تحسب الجزء المخفي. وعبر أنشطة عدة، بحثوا عن النقطة في شبكة الشوارع التي تتطابق مع كل تلك المسافات على أفضل نحو.

«من بين 1.4 مليون نشاط على Strava حللناه، تمكنا من كشف ما يصل إلى 85 في المئة من المواقع المخفية رغم ذلك، استنادًا إلى البيانات الإضافية المتاحة للعامة وحدها»، قال الباحث فيكتور لو بوشا. وكان هذا الرقم للمناطق التي حجمها 200 متر، وهو الحجم الذي اختاره معظم مستخدمي Strava. وساعدت المناطق الأكبر، لكنها لم تُنهِ الأمر: فقد بلغت نسبة النجاح 55% عند كيلومتر واحد، و39% عند 1.6 كيلومتر، وهو أكبر حجم كانت Strava تتيحه آنذاك.

غيّرت Strava الميزة منذ ذلك الحين. إذ يمكن لـ Map Visibility الآن إخفاء المنطقة المحيطة بعنوان، أو إخفاء بداية كل نشاط ونهايته أينما وقع، أو إخفاء الخريطة كلها، وتحصل الحسابات البالغة الجديدة على إخفاء 200 متر عند كل طرف افتراضيًا. وتناقش ورقة KU Leuven إخفاء مسافة محددة عند كل طرف، وهو ما أدخلته Strava مؤخرًا، وتذكر أنه لم يجعل سوى خطوة واحدة من الهجوم أقل موثوقية: فنقاط القطع والمسافات بقيت متاحة للتنبؤ.

تعترف صفحة المساعدة الخاصة بـ Strava بالحد بصراحة. فإخفاء جزء من الخريطة، كما تقول، «لا يعني أنه من المستحيل على شخص استنتاج موقع مخفي باستخدام معلومات إضافية»، وتوجه من يريد ألا تظهر أي خريطة إلى الخيار الذي يخفيها كليًا. وقالت Strava أيضًا لصحيفة Cycling Weekly في 2023 إنه «لم تكن هناك تسريبات ولا هجمات إلكترونية تتعلق ببيانات Strava أو مجتمعنا فيما يخص هذا البحث». ولم يقل الباحثون غير ذلك: فقد استخدمت طريقتهم فقط ما يُظهره التطبيق للعامة، وهو تسريب من النوع نفسه الذي وجده باحثون في تطبيقات المواعدة.

«في منطقة كثيفة السكان، فيها كثير من المسارات وكثير من المستخدمين، توجد بيانات هائلة يصعب معها تتبع أي شخص بعينه»، قال أنوبام داس، المؤلف الرئيسي للدراسة. «لكن في المناطق القليلة المستخدمين و/أو المسارات، يصبح الأمر عملية إقصاء بسيطة»، لا سيما بالنسبة لمستخدم نشط جدًا. وقد رصد فريقه 143,799 نقطة اهتمام على الخريطة الحرارية، وطابق 11,165 مستخدمًا من Strava مع سجلات الناخبين للتحقق من تخميناتهم.

كان البحث عن المستخدمين بالبساطة نفسها. فقد بحث الباحثون عن المستخدمين بالمدينة المذكورة في ملفاتهم، وفي ذلك الوقت ظهرت حتى الحسابات المقصورة على المتابعين في نتائج ذلك البحث. أما المستخدمون الذين تركوا مدينتهم فارغة فلم يكن العثور عليهم بهذه الطريقة ممكنًا.

تسد قواعد Strava الحالية جزءًا من هذه الفجوة. فيقول مركز المساعدة لديها إن الخريطة الحرارية العالمية تعرض النشاط خلال العام الماضي، وتُحدَّث شهريًا، وتستبعد الأنشطة غير المضبوطة على Everyone، والأجزاء المخفية بإعدادات عرض الخريطة، وأنشطة الأشخاص الذين انسحبوا. ولا تظهر أي حرارة في منطقة حتى يكون عدة مستخدمين نشطين فيها.

1. Step 1اجعل الأنشطة للمتابعين فقطفي التطبيق، افتح تبويب You، واضغط أيقونة الإعدادات، ثم Privacy Controls، واضبط Activities على Followers، أو على Only You للجولات التي تحتفظ بها لنفسك. واضبط Profile على Followers أيضًا، فيحتاج الناس إلى طلب متابعتك وانتظار موافقتك؛ وتقول Strava إن ذلك يمنع محركات البحث من فهرسة ملفك. وحينها لن يرى الغرباء أي مسار على الإطلاق.
2. Step 2أخفِ عنوان منزلكتحت Privacy Controls > Map Visibility، أدخل عنوانك. ثم تخفي Strava من أي نشاط سابق أو لاحق الجزء الذي يبدأ أو ينتهي قربه، وأنت تختار المسافة، حتى ميل واحد (نحو 1.6 كيلومتر). وأضف العمل أو المدرسة أو منزل الشريك أيضًا، واختر مسافة كبيرة: «كلما كانت أكبر كان أفضل»، قال الباحث في KU Leuven كارل دوندت.
3. Step 3أخفِ البداية والنهاية لكل شيءيخفي الخيار الثاني في Map Visibility بداية كل الأنشطة المستقبلية ونهايتها أينما بدأت، وهذا يشمل الفندق أو شقة صديق أو عنوانًا جديدًا نسيت إضافته. والافتراضي 200 متر، والمسافة الأطول تخفي أكثر. وإن أردت ألا تظهر أي خريطة إطلاقًا، فالخيار الثالث يخفي الخريطة كلها.
4. Step 4ابدأ وأنهِ في مكان آخرونصح باحثو KU Leuven أيضًا بتغيير مكان البداية والنهاية. امشِ بضع دقائق قبل أن تضغط زر البدء، وأوقف التسجيل قبل أن تنعطف إلى شارعك. فالمنطقة المخفية لا تستطيع أن تكشف بابا لا يصل إليه المسار أبدًا.
5. Step 5ألغِ الاشتراك في الخريطة الحراريةفي Privacy Controls، أوقف الإعداد الذي يساهم ببياناتك في الميزات المجمعة لـ Strava: Product Improvements في صفحات المساعدة الحالية لـ Strava، وكان يُسمى استخدام البيانات المجمعة في الصفحات القديمة. وتقول Strava إن البيانات المنسحبة تُستبعد من الخريطة الحرارية العالمية ومن Strava Metro.
6. Step 6راجع ما يقوله ملفكوجد فريق NC State المستخدمين بالبحث عن كل من كتب مدينة معينة في ملفه. فاحذف المدينة من ملفك، أو اجعلها عامة.
7. Step 7أوقف FlybyFlyby مغلق افتراضيًا، ولا يشمل إلا الأنشطة المرئية للجميع. وإذا كنت قد اشتركت فيه، فكّر في الانسحاب منه.

والمتابعون الجدد يحتاجون أيضًا إلى طلب الموافقة أولًا، وهنا يأتي دور الأهل. فجلسة تدريب في نادٍ أو جولة جري مدرسية تبدأ من المنزل تُظهر النمط نفسه لكل متابع تمت الموافقة عليه، لذلك انظر من هم، وأضف عنوان المنزل في Map Visibility. ويجب أن تكون أنشطة المراهق ضمن الحديث نفسه عن ما تكشفه صور الطفل للغرباء.

وكانت المناطق مختلفة أيضًا. فقد قدمت Strava دوائر من 200 متر إلى 1.6 كيلومتر، وقدمت Garmin Connect من 100 متر إلى كيلومتر واحد، بينما استخدمت Komoot منطقة ذات شكل عشوائي بدلًا من الدائرة، وهو ما لاحظ الباحثون أنه يجعل المنطقة أصعب في الاستنتاج. وأيًا كان التطبيق، فأول إعداد يجب تغييره هو الذي يجعل الأنشطة عامة.

الخريطة المخفية تخفي الخط فقط. وإزالة بيانات EXIF تُخرج الإحداثيات من الملف، وصورة شخصية واحدة قد تكشف مكان سكنك تسرد القرائن التي تلتقطها الكاميرا: أرقام الأبواب، ولافتات الشوارع، والمنظر من النافذة. والصور من الركن نفسه أسبوعًا بعد أسبوع تبني النمط الموصوف في مخاطر خصوصية البيانات الوصفية للصور.

تنشر Strava الصور أيضًا. فالحسابات البالغة الجديدة تبدأ مع تشغيل Public Photos on Routes، لذلك قد تظهر صور الأنشطة العامة على مسارات المجتمع في Strava، دون أن تُربط بحسابك. والصور المُلتقطة داخل عنوان أخفيته تُستبعد، ويمكن إيقاف الإعداد من Privacy Controls.

تحليل الصور على geospys.com جزء من GeoSpy Premium: 7.99 دولار أمريكي أسبوعيًا أو 29.99 دولارًا أمريكيًا سنويًا (الاشتراك السنوي)، بلا حدود ضمن الاستخدام المعقول، ويمكن إلغاؤه في أي وقت. ويقدّر مدينة ودولة، لا عنوانًا. ويوفر تطبيق GeoSpy على iPhone فترة تجربة مجانية.