Strava è sicuro? Nascondere casa non sempre basta

Nel 2023, poche ore prima che Joe Biden arrivasse all’hotel di San Francisco dove alloggiava per i colloqui con il presidente cinese Xi Jinping, uno dei suoi agenti dei Servizi segreti è uscito a correre partendo da quell’hotel e ha registrato il percorso su Strava. Il quotidiano francese Le Monde ha trovato quella corsa, riferisce l’Associated Press, risalendo ai profili pubblici di Strava di 26 agenti dei Servizi segreti, 12 membri del gruppo di sicurezza presidenziale francese e sei membri del Servizio federale di protezione russo.

Nulla di quelle corse era insolito. Strava mostra le attività di un adulto a tutti, a meno che l’impostazione non venga cambiata, e il punto da cui un percorso parte di continuo è spesso una casa o un luogo di lavoro. Strava offre modi per nascondere dove un percorso inizia e finisce. Questa guida esamina che cosa è successo quando i ricercatori hanno provato a vedere oltre quelle protezioni, che cosa può rivelare la mappa di calore di Strava e quali impostazioni tengono davvero il tuo indirizzo fuori dalla mappa.

Strava dice di avere più di 195 milioni di atleti in oltre 185 paesi, e il suo centro assistenza elenca le impostazioni predefinite con cui parte ogni nuovo account adulto. Profilo, attività e attività di gruppo sono visibili a Tutti. Flyby, che riproduce la tua attività insieme a quelle di altre persone vicine, è impostato su Nessuno. Visibilità mappa nasconde i primi e gli ultimi 200 metri delle future mappe di attività.

Un’attività pubblica mostra il percorso su una mappa, quando è avvenuta e quanto è lunga. Una singola attività è una linea; alcuni mesi di attività formano una routine, con un punto di partenza che si sposta appena. Gli account aperti da minorenni partono con impostazioni più restrittive, trattate più avanti.

La mappa di calore rilasciata da Strava nel novembre 2017 riuniva un miliardo di attività, più di 3 trilioni di punti GPS secondo l’azienda, sotto forma di linee luminose su una mappa scura. Nel gennaio 2018 Nathan Ruser, analista dell’Institute for United Conflict Analysts, ha fatto notare che le basi statunitensi erano «chiaramente identificabili e mappabili». In Afghanistan, Gibuti e Siria, riferisce il Guardian, gli utenti di Strava erano quasi tutti militari stranieri, quindi le basi risaltavano. Ingrandendo una grande base si vedeva la sua disposizione interna, tracciata dai percorsi di corsa dei soldati.

L’inchiesta di Le Monde del 2024 ha usato invece profili individuali. Seguendo le corse delle guardie del corpo di Emmanuel Macron, ha collocato il presidente francese a Honfleur durante un fine settimana privato del 2021 che non risultava nella sua agenda ufficiale. Dal canto suo, il Servizio segreto statunitense ha dichiarato a Le Monde: «Non riteniamo che ci siano stati impatti sulle operazioni di protezione né minacce per le persone protette.»

Nel luglio 2025 è stata la volta della Svezia. Il quotidiano Dagens Nyheter ha riferito che sette membri del servizio di sicurezza del paese avevano condiviso corse e giri che rivelavano le vacanze private della famiglia reale, riferisce NBC News. Le precedenti inchieste del giornale avevano accertato che i dati sugli allenamenti delle guardie del corpo esponevano dettagli sul primo ministro Ulf Kristersson in almeno 35 occasioni, tra cui i suoi percorsi di corsa, i viaggi all’estero e l’indirizzo privato. Strava ha dichiarato a NBC News che non c’è stata alcuna fuga o violazione di dati degli utenti e che si aspetta che chi lavora in professioni sensibili usi le impostazioni di privacy disponibili.

In nessuno di questi casi Strava è stata violata. Le attività erano pubbliche, e i luoghi da cui partivano hanno detto il resto.

Il caso quotidiano è il furto di biciclette. Nel 2015 Mark Leigh, un ciclista di Failsworth, vicino a Manchester, ha raccontato al Manchester Evening News che il suo garage era stato forzato la mattina dopo un giro registrato su Strava, e le sue due bici, del valore di 500 e 1.000 sterline, erano state portate via. Non era sparito nient’altro, e lui era convinto che i ladri lo avessero trovato tramite l’app. Non conosceva l’impostazione per nascondere la casa, riferisce The Register.

I ricercatori hanno testato più volte questo tipo di impostazione. Nel 2022 un gruppo della KU Leuven, in Belgio, ha studiato le zone privacy di Strava: cerchi intorno a un indirizzo protetto, all’interno dei quali un percorso è nascosto agli altri. Il loro attacco usava tre elementi che chiunque poteva vedere: la mappa stradale, i punti in cui un percorso entrava nel cerchio nascosto e le distanze, che continuavano a contare il tratto nascosto. Su più attività, hanno cercato il punto della griglia stradale che meglio si adattava a tutte quelle distanze.

«Tra gli 1,4 milioni di attività Strava che abbiamo analizzato, siamo comunque riusciti a scoprire fino all’85% delle posizioni nascoste, basandoci solo sui dati aggiuntivi pubblicamente disponibili», ha detto il ricercatore Victor Le Pochat. La cifra si riferisce alle zone da 200 metri, la dimensione scelta dalla maggior parte degli utenti Strava. Zone più grandi aiutavano, ma non eliminavano il problema: il tasso di successo era del 55% a 1 km e del 39% a 1,6 km, la dimensione più grande che Strava offriva all’epoca.

Strava ha modificato la funzione da allora. Visibilità mappa ora può nascondere l’area intorno a un indirizzo, nascondere inizio e fine di ogni attività ovunque avvenga, oppure nascondere l’intera mappa, e i nuovi account adulti ricevono di default 200 metri nascosti a ciascun estremo. L’articolo della KU Leuven esaminava la possibilità di nascondere una distanza fissa a ogni estremo, appena introdotta da Strava, e concludeva che rendeva meno affidabile soltanto un passaggio dell’attacco: i punti di taglio e le distanze restavano disponibili per la previsione.

La pagina di aiuto di Strava è esplicita sul limite. Nascondere una parte della mappa, dice, «non significa che sia impossibile per qualcuno dedurre una posizione nascosta usando informazioni aggiuntive», e indirizza chi non vuole mostrare alcuna mappa all’opzione che la nasconde del tutto. Nel 2023 Strava ha anche dichiarato a Cycling Weekly che non ci sono stati «né fughe di dati né attacchi informatici che coinvolgono Strava o i dati della nostra comunità» in relazione a questa ricerca. I ricercatori non hanno mai detto il contrario: il loro metodo usava soltanto ciò che l’app mostrava pubblicamente, una falla dello stesso tipo di quelle che i ricercatori hanno trovato nelle app di incontri.

«In un’area densamente popolata, con molti percorsi e molti utenti, ci sono così tanti dati che sarebbe estremamente difficile tracciare una persona specifica», ha detto Anupam Das, autore senior dello studio. «Tuttavia, nelle zone con pochi utenti e/o pochi percorsi diventa un semplice processo di eliminazione», soprattutto per un utente molto attivo. Il suo gruppo ha segnalato 143.799 punti di interesse sulla mappa di calore e ha confrontato 11.165 utenti Strava con i registri elettorali per verificare le ipotesi.

Anche la ricerca era semplice. I ricercatori cercavano gli utenti per la città indicata nei profili, e all’epoca anche gli account impostati solo per i follower comparivano in quella ricerca. Gli utenti che avevano lasciato vuota la città non potevano essere trovati in quel modo.

Le regole attuali di Strava chiudono in parte questo varco. Il centro assistenza dice che la Mappa di calore globale mostra l’attività dell’ultimo anno, aggiornata mensilmente, ed esclude le attività non impostate su Tutti, le parti nascoste dalle impostazioni di visibilità della mappa e le attività di chi ha scelto di non partecipare. Nessun calore compare in un’area finché non vi sono state attività di più utenti.

1. Step 1Rendi le attività visibili solo ai followerNell’app apri la scheda Tu, tocca l’icona delle impostazioni, poi Controlli privacy, e imposta Attività su Follower, oppure su Solo tu per le corse che vuoi tenere per te. Imposta anche Profilo su Follower, così le persone devono chiederti di seguirti e attendere la tua approvazione; Strava dice che questo impedisce anche ai motori di ricerca di indicizzare il tuo profilo. Gli sconosciuti non vedono così alcun percorso.
2. Step 2Nascondi l’indirizzo di casaIn Controlli privacy > Visibilità mappa, inserisci il tuo indirizzo. Strava nasconde allora la parte di ogni attività passata o futura che inizia o finisce nelle vicinanze, e scegli quanto nascondere, fino a un miglio (circa 1,6 km). Aggiungi anche il lavoro, la scuola o la casa del partner, e scegli una distanza ampia: «Più è grande, meglio», ha detto il ricercatore della KU Leuven Karel Dhondt.
3. Step 3Nascondi inizio e fine di tuttoLa seconda opzione di Visibilità mappa nasconde inizio e fine di tutte le attività future, ovunque comincino, il che copre un hotel, l’appartamento di un amico o un nuovo indirizzo che hai dimenticato di aggiungere. Il valore predefinito è 200 metri; una distanza maggiore nasconde di più. Se non vuoi alcuna mappa, la terza opzione nasconde l’intera mappa.
4. Step 4Parti e arriva altroveI ricercatori della KU Leuven consigliano anche di variare il punto di partenza e di arrivo. Cammina per qualche minuto prima di premere start, e interrompi la registrazione prima di imboccare la tua via. Una zona nascosta non può rivelare una porta che il percorso non raggiunge mai.
5. Step 5Disattiva la mappa di caloreIn Controlli privacy, disattiva l’impostazione che fa contribuire i tuoi dati alle funzioni aggregate di Strava: Miglioramenti del prodotto nelle pagine di aiuto attuali, chiamata «utilizzo dei dati aggregati» in quelle più vecchie. Strava dice che i dati di chi ha disattivato l’opzione sono esclusi dalla Mappa di calore globale e da Strava Metro.
6. Step 6Controlla cosa dice il tuo profiloIl team della NC State ha trovato gli utenti cercando tutti quelli che indicavano una certa città. Lascia fuori la città dal profilo, o indica un’area più ampia.
7. Step 7Disattiva FlybyFlyby è disattivato di default e include solo le attività visibili a Tutti. Se l’hai attivato, valuta di disattivarlo di nuovo.

I nuovi follower devono anche chiedere l’approvazione, ed è qui che entrano in gioco i genitori. Un allenamento con il club o il tragitto verso scuola che parte da casa mostra lo stesso schema a ogni follower approvato, quindi controlla chi sono e aggiungi l’indirizzo di casa in Visibilità mappa. Le attività di un adolescente vanno inserite nello stesso discorso su ciò che le foto di un bambino rivelano agli estranei.

Anche le zone erano diverse. Strava offriva cerchi da 200 metri a 1,6 km e Garmin Connect da 100 metri a 1 km, mentre Komoot usava un’area di forma casuale invece di un cerchio, che secondo i ricercatori rende la zona più difficile da calcolare. Qualunque app tu usi, la prima impostazione da cambiare è quella che rende pubbliche le attività.

Una mappa nascosta nasconde solo la linea. Rimuovere i dati EXIF toglie le coordinate dal file, e un selfie può rivelare dove vivi elenca gli indizi che una fotocamera coglie: numeri civici, cartelli stradali, la vista da una finestra. Le foto scattate dallo stesso angolo, settimana dopo settimana, costruiscono il tipo di schema spiegato nella guida ai rischi per la privacy dei metadati delle foto.

Strava pubblica anche le foto. I nuovi account adulti partono con Foto pubbliche sui percorsi attivato, quindi le foto delle attività pubbliche possono comparire sui percorsi della comunità di Strava, senza essere collegate al tuo account. Le foto scattate dentro un indirizzo che hai nascosto sono escluse, e l’impostazione si può disattivare in Controlli privacy.

L’analisi delle foto su geospys.com fa parte di GeoSpy Premium: 7,99 dollari statunitensi a settimana o 29,99 dollari statunitensi all’anno (abbonamento annuale), senza limiti entro un uso ragionevole e con disdetta possibile in qualsiasi momento. Stima una città e un paese, non un indirizzo. L’app GeoSpy per iPhone offre una prova gratuita.