Strava puede ocultar tu casa. Los investigadores la encontraron igual

En 2023, unas horas antes de que Joe Biden llegara al hotel de San Francisco donde se alojó para las conversaciones con Xi Jinping, presidente de China, uno de sus agentes del Servicio Secreto salió a correr desde ese hotel y registró el recorrido en Strava. El diario francés Le Monde encontró esa carrera, según informó Associated Press, mientras rastreaba los perfiles públicos de Strava de 26 agentes del Servicio Secreto, 12 miembros del grupo de seguridad presidencial de Francia y seis miembros del Servicio Federal de Protección de Rusia.

Ninguna de esas carreras tenía nada de extraño. Strava muestra las actividades de un adulto a todo el mundo salvo que se cambie el ajuste, y el lugar desde el que una ruta arranca una y otra vez suele ser una casa o un lugar de trabajo. Strava sí ofrece formas de ocultar dónde empieza y dónde termina un recorrido. Esta guía repasa qué pasó cuando los investigadores intentaron ver a través de ellas, qué puede delatar el mapa de calor de Strava y qué ajustes mantienen de verdad tu dirección fuera del mapa.

Strava afirma tener más de 195 millones de deportistas en más de 185 países, y su centro de ayuda enumera los ajustes de privacidad con los que arranca toda cuenta nueva de adulto. El perfil, las actividades y las actividades de grupo son visibles para Todos (Everyone). Flyby, que reproduce tu actividad junto a las de otras personas cercanas, está en Nadie (No One). La visibilidad del mapa oculta los primeros y los últimos 200 metros de los mapas de las próximas actividades.

Una actividad pública muestra el recorrido en un mapa, cuándo ocurrió y qué distancia abarcó. Una actividad es una línea; unos meses de ellas son una rutina, con un punto de partida que casi no se mueve. Las cuentas abiertas por menores de 18 años arrancan con ajustes más estrictos, que se tratan más abajo.

El mapa de calor que Strava publicó en noviembre de 2017 dibujaba mil millones de actividades, más de 3 billones de puntos GPS según la empresa, como líneas brillantes sobre un mapa oscuro. En enero de 2018, Nathan Ruser, analista del Institute for United Conflict Analysts, señaló que las bases estadounidenses eran «claramente identificables y cartografiables». En Afganistán, Yibuti y Siria, según informó The Guardian, los usuarios de Strava parecían ser casi todos militares extranjeros, así que las bases destacaban. Al acercarse a una gran base se veía su distribución interna, trazada por las rutas de trote de los soldados.

La investigación de Le Monde de 2024 usó perfiles individuales. Siguiendo las carreras de los guardaespaldas de Emmanuel Macron, ubicó al presidente francés en Honfleur durante un fin de semana privado de 2021 que no figuraba en su agenda oficial. Por su parte, el Servicio Secreto de Estados Unidos dijo a Le Monde: «No consideramos que hubiera ningún efecto sobre las operaciones de protección ni amenazas para ninguna persona protegida».

En julio de 2025 le tocó a Suecia. El diario Dagens Nyheter informó, según NBC News, de que siete miembros del servicio de seguridad del país habían compartido carreras y rutas en bici que revelaban las vacaciones privadas de la familia real. Reportajes anteriores del diario habían detectado que los datos de entrenamiento de los guardaespaldas exponían detalles del primer ministro, Ulf Kristersson, en al menos 35 ocasiones, entre ellos sus rutas de carrera, sus viajes al extranjero y su domicilio particular. Strava dijo a NBC News que no hubo ninguna filtración ni brecha de datos de usuarios, y que espera que quienes tienen profesiones sensibles usen los ajustes de privacidad disponibles.

En ninguno de estos casos hackearon Strava. Las actividades eran públicas, y los lugares de los que partían decían el resto.

La versión cotidiana es el robo de una bici. En 2015, Mark Leigh, un ciclista de Failsworth, cerca de Mánchester, contó al Manchester Evening News que entraron en su garaje la mañana siguiente a una salida que había registrado en Strava y se llevaron sus dos bicicletas, valoradas en 500 y 1000 libras. No se llevaron nada más, y él creía que los ladrones lo habían encontrado a través de la app. No conocía su ajuste para ocultar su casa, según The Register.

Los investigadores han puesto a prueba ese tipo de ajuste más de una vez. En 2022, un equipo de la KU Leuven, en Bélgica, estudió las zonas de privacidad de Strava: círculos alrededor de una dirección protegida dentro de los cuales la ruta queda oculta para los demás. Su ataque usaba tres cosas que cualquiera podía ver: el mapa de calles, los puntos donde la ruta entraba en el círculo oculto y las cifras de distancia, que seguían contando el tramo oculto. A lo largo de varias actividades, buscaban el punto de la red de calles que mejor encajaba con todas esas distancias.

«De los 1,4 millones de actividades de Strava que analizamos, pudimos descubrir igualmente hasta el 85 por ciento de las ubicaciones ocultas, basándonos únicamente en los datos adicionales que eran públicos», dijo el investigador Victor Le Pochat. Esa cifra correspondía a zonas de 200 metros, el tamaño que eligieron la mayoría de los usuarios de Strava. Las zonas más grandes ayudaron, pero no lo resolvieron: la tasa de éxito fue del 55% con 1 km y del 39% con 1,6 km, el tamaño máximo que Strava ofrecía entonces.

Desde entonces Strava ha cambiado esta función. La visibilidad del mapa (Map Visibility) ahora puede ocultar la zona en torno a una dirección, ocultar el inicio y el final de cada actividad dondequiera que ocurra, u ocultar el mapa entero, y las cuentas nuevas de adulto llevan 200 metros ocultos en cada extremo por defecto. El artículo de la KU Leuven analizaba ocultar una distancia fija en cada extremo, algo que Strava acababa de introducir, y escribió que eso solo hacía menos fiable un paso del ataque: los puntos de corte y las distancias seguían disponibles para la predicción.

La propia página de ayuda de Strava es franca sobre el límite. Ocultar parte de un mapa, dice, «no significa que sea imposible que alguien deduzca una ubicación oculta usando información adicional», y remite a quien no quiera que se muestre ningún mapa a la opción que lo oculta por completo. Strava también dijo a Cycling Weekly en 2023 que no había habido «filtraciones ni ciberataques que afectaran a Strava o a los datos de nuestra comunidad en relación con esta investigación». Los investigadores nunca dijeron lo contrario: su método solo usaba lo que la app mostraba en público, una fuga del mismo tipo que han encontrado otros investigadores en las apps de citas.

«En una zona densamente poblada, con muchas rutas y muchos usuarios, hay tantos datos que sería extremadamente difícil seguir a una persona concreta», dijo Anupam Das, autor principal del estudio. «Sin embargo, en zonas con pocos usuarios o pocas rutas, se convierte en un simple proceso de eliminación», sobre todo con un usuario muy activo. Su equipo señaló 143 799 puntos de interés en el mapa de calor y cruzó 11 165 usuarios de Strava con registros electorales para comprobar sus conjeturas.

La parte de la búsqueda era igual de sencilla. Los investigadores buscaban usuarios por la ciudad que figuraba en sus perfiles, y en aquel momento incluso las cuentas configuradas solo para seguidores aparecían en esa búsqueda. Los usuarios que habían dejado la ciudad en blanco no se podían encontrar así.

Las reglas actuales de Strava cierran parte de esa brecha. Su centro de ayuda dice que el Global Heatmap muestra la actividad del último año, actualizada cada mes, y deja fuera las actividades que no están configuradas para Todos, los tramos ocultos por los ajustes de visibilidad del mapa y las actividades de quienes han optado por salir. No aparece calor en una zona hasta que varios usuarios han estado activos allí.

1. Step 1Deja las actividades solo para seguidoresEn la app, abre la pestaña Tú, toca el icono de ajustes, luego Controles de privacidad (Privacy Controls), y pon Actividades (Activities) en Seguidores (Followers), o en Solo tú (Only You) para las salidas que guardas para ti. Pon también Perfil (Profile) en Seguidores, para que la gente tenga que pedir seguirte y esperar a que lo apruebes; Strava dice que esto además impide que los buscadores indexen tu perfil. Así, los desconocidos no ven ninguna ruta.
2. Step 2Oculta la dirección de tu casaEn Controles de privacidad > Visibilidad del mapa (Privacy Controls > Map Visibility), introduce tu dirección. Strava oculta entonces la parte de cualquier actividad, pasada o futura, que empiece o termine cerca, y tú eliges cuánto, hasta una milla (unos 1,6 km). Añade también el trabajo, la escuela o la casa de tu pareja, y elige una distancia grande: «Cuanto más grande, mejor», dijo el investigador de la KU Leuven Karel Dhondt.
3. Step 3Oculta el inicio y el final de todoLa segunda opción de visibilidad del mapa oculta el inicio y el final de todas las actividades futuras dondequiera que empiecen, lo que cubre un hotel, el departamento de un amigo o una dirección nueva que olvidaste añadir. Por defecto son 200 metros; una distancia mayor oculta más. Si no quieres ningún mapa, la tercera opción oculta el mapa entero.
4. Step 4Empieza y termina en otro sitioLos investigadores de la KU Leuven también aconsejaron variar el lugar donde empiezas y terminas. Camina unos minutos antes de pulsar iniciar y detén la grabación antes de entrar en tu calle. Una zona oculta no puede delatar una puerta a la que la ruta nunca llega.
5. Step 5Sal del mapa de calorEn Controles de privacidad, desactiva el ajuste que aporta tus datos a las funciones agregadas de Strava: Mejoras del producto (Product Improvements) en las páginas de ayuda actuales de Strava, llamado uso de datos agregados en las más antiguas. Strava dice que los datos de quienes han optado por salir quedan fuera del Global Heatmap y de Strava Metro.
6. Step 6Revisa lo que dice tu perfilEl equipo de NC State encontró usuarios buscando a todos los que indicaban una ciudad concreta. Deja la ciudad fuera de tu perfil o mantenla en términos generales.
7. Step 7Deja Flyby desactivadoFlyby viene desactivado por defecto y solo incluye actividades visibles para Todos. Si lo activaste, plantéate volver a desactivarlo.

Los nuevos seguidores también tienen que pedir aprobación primero, y ahí entran los padres. Una salida del club o del colegio que parte de casa muestra el mismo patrón a todos los seguidores aprobados, así que mira quiénes son y añade la dirección de casa en la visibilidad del mapa. Las actividades de un adolescente caben en la misma conversación que lo que las fotos de un niño cuentan a los desconocidos.

Las zonas también diferían. Strava ofrecía círculos de 200 metros a 1,6 km y Garmin Connect de 100 metros a 1 km, mientras que Komoot usaba un área de forma aleatoria en lugar de un círculo, algo que, según los investigadores, dificulta deducir la zona. Sea cual sea la app, el primer ajuste que cambiar es el que hace públicas las actividades.

Un mapa oculto solo oculta la línea. Eliminar los datos EXIF saca las coordenadas del archivo, y un solo selfi puede revelar dónde vives enumera las pistas que capta una cámara: números de puerta, carteles de calles, la vista desde una ventana. Las fotos hechas desde la misma esquina, semana tras semana, forman el tipo de patrón que describen los riesgos de los metadatos de las fotos para la privacidad.

Strava también muestra fotos. Las cuentas nuevas de adulto arrancan con Fotos públicas en rutas (Public Photos on Routes) activado, así que las fotos de actividades públicas pueden aparecer en las rutas de la comunidad de Strava, sin vincularse a tu cuenta. Las fotos tomadas dentro de una dirección que hayas ocultado quedan fuera, y el ajuste se puede desactivar en Controles de privacidad.

El análisis de fotos en geospys.com forma parte de GeoSpy Premium: 7,99 dólares estadounidenses a la semana o 29,99 dólares estadounidenses al año (obtén el plan anual), sin límites dentro del uso razonable y cancelable en cualquier momento. Estima una ciudad y un país, no una dirección. La app GeoSpy para iPhone tiene una prueba gratuita.