Stravaで自宅がバレる？研究が示したことと設定

2023年、ジョー・バイデン氏が中国の習近平国家主席との会談のために滞在したサンフランシスコのホテルに到着する数時間前、同氏のシークレットサービスの一人が、そのホテルからランニングに出て、ルートをStravaに記録していました。フランスの新聞ルモンドは、シークレットサービスの職員26人、フランスの大統領警護部隊の12人、ロシアの連邦警護庁の6人の公開Stravaプロフィールをたどる中で、このランニングを見つけたと、AP通信は報じています。

それらのランニングは、特に変わったものではありませんでした。Stravaは、設定を変えない限り、成人のアクティビティをすべての人に表示します。そして、ルートがいつも出発する場所は、多くの場合、自宅か職場です。Stravaには、ルートの出発地点と終了地点を隠す方法もあります。このガイドでは、研究者がそれらを見通そうとしたときに何が起きたか、Stravaのヒートマップが何を明かしうるか、そして住所を地図から実際に守る設定は何かを取り上げます。

Stravaによると、185以上の国で1億9,500万人を超えるアスリートがいます。ヘルプセンターには、新しい成人アカウントが最初から持つプライバシーの初期設定が載っています。プロフィール、アクティビティ、グループアクティビティはEveryoneに表示されます。Flybyは、近くにいる他の人のアクティビティと並べて自分のアクティビティを再生する機能で、No Oneに設定されています。マップの表示設定では、今後のアクティビティマップの最初と最後の200メートルが隠されます。

公開されたアクティビティには、地図上のルート、実施された日時、距離が表示されます。1回分のアクティビティは1本の線ですが、数か月分が集まると、ほとんど動かない出発地点を含む生活のリズムになります。18歳未満が開設したアカウントは、より厳しい設定から始まります。これについては後で説明します。

Stravaが2017年11月に公開したヒートマップは、暗い地図の上に光る線として、10億件のアクティビティと、同社によれば3兆を超えるGPSポイントを描き出しました。2018年1月、Institute for United Conflict AnalystsのアナリストであるNathan Ruserは、米軍の基地が「明確に識別でき、地図化できる」と指摘しました。ガーディアン紙によれば、アフガニスタン、ジブチ、シリアでは、Stravaのユーザーのほぼ全員が外国の軍関係者のように見えたため、基地が際立って見えました。大きな基地を拡大すると、兵士のジョギングのルートによって描かれた内部の配置まで見えました。

ルモンドの2024年の調査では、代わりに個々のプロフィールを使いました。エマニュエル・マクロン大統領の警護担当者のランニングを追うことで、2021年の週末に大統領がオンフルールにいたことを突き止めました。これは、大統領の公式日程には入っていない私的な週末でした。一方、米シークレットサービスはルモンドに対し、「警護活動や警護対象者への脅威に影響があったとは評価していない」と述べました。

2025年7月は、スウェーデンの番でした。NBCニュースの報道によると、新聞Dagens Nyheterは、同国の治安機関の職員7人が、王室の私的な休暇を明らかにするランニングやライドを共有していたと報じました。同紙の以前の報道では、警護担当者のワークアウトデータから、ウルフ・クリステション首相に関する詳細が、少なくとも35回にわたって露呈していたことがわかりました。そこには、ランニングのルート、海外への旅行、私的な住所も含まれていました。Stravaは、NBCニュースに対し、ユーザーデータの漏えいや侵害はなかったと述べ、機密性の高い職業に就くユーザーには、利用可能なプライバシー設定を使ってほしいと考えていると話しました。

これらのどの事例でも、Stravaがハッキングされたわけではありません。アクティビティは公開されていて、そこからの出発地点が残りを物語っていました。

身近な例は自転車の盗難です。2015年、マンチェスター近郊のFailsworthに住むサイクリストのMark Leighは、Stravaで記録したライドの翌朝、ガレージに侵入され、500ポンドと1,000ポンドの自転車2台を盗まれたと、Manchester Evening Newsに語りました。ほかには何も盗まれず、彼は泥棒がアプリを通じて自分を見つけたのだと考えました。The Registerによると、彼は自宅を隠す設定があることを知らなかったそうです。

研究者は、この種の設定を何度も検証してきました。2022年、ベルギーのKU Leuvenのチームは、Stravaのプライバシーゾーンを調べました。これは、保護された住所の周囲の円で、その内側ではルートが他の人から隠されます。彼らの攻撃は、誰でも見られる3つの情報を使いました。道路地図、ルートが隠された円に入る地点、そして隠された区間も含めて数えられていた距離の数値です。複数のアクティビティにわたって、それらすべての距離に最もよく合う道路網上の地点を探しました。

「分析した140万件のStravaアクティビティから、公開されていた追加データだけに基づいて、隠された場所の最大85%を、それでも明らかにできました」と、研究者のVictor Le Pochatは述べています。この数字は200メートルのゾーンについてのもので、これはほとんどのStravaユーザーが選んでいたサイズです。より大きなゾーンは効果がありましたが、問題を終わらせるには至りませんでした。成功率は1kmで55%、当時Stravaが提供していた最大サイズの1.6kmで39%でした。

その後、Stravaはこの機能を変更しました。マップの表示設定では、住所の周辺を隠したり、どこで行われたものであってもすべてのアクティビティの出発地点と終了地点を隠したり、マップ全体を隠したりできるようになりました。新しい成人アカウントは、初期設定で両端の200メートルが隠されます。KU Leuvenの論文では、Stravaが最近導入した、両端の一定距離を隠す方法を取り上げ、攻撃の一段階を確実でなくするだけだと書いています。隠れた区間との境目の地点と距離は、予測に使える状態のまま残っていたからです。

Stravaのヘルプページは、この限界について率直に書いています。マップの一部を隠しても、「追加の情報を使って、隠された場所を推測することが不可能になるわけではありません」と述べ、マップを一切表示したくない人には、完全に隠す設定を勧めています。Stravaは2023年にCycling Weeklyに対しても、「この研究に関して、Stravaやコミュニティのデータが関わる漏えいやサイバー攻撃はありませんでした」と語っています。研究者はそれと異なることを言ってはいません。研究者の手法は、アプリが公開していた情報だけを使っていました。それは、出会い系アプリでも研究者が見つけたのと同じ種類の漏えいです。

「人口が密集し、ルートもユーザーも多い地域では、データが多すぎて、特定の人を追跡するのは極めて困難です」と、研究の上級著者であるAnupam Dasは述べています。「しかし、ユーザーやルートが少ない地域では、単純な消去法になってしまいます」と、特に活動的なユーザーの場合について説明しています。彼らのチームは、ヒートマップ上の143,799か所の関心地点に印を付け、推測を確かめるために、11,165人のStravaユーザーを有権者登録記録と照合しました。

検索の側面も同じくらい単純でした。研究者は、プロフィールに記載された町の名前でユーザーを検索しました。当時は、フォロワーのみに設定されたアカウントでも、その検索で表示されました。都市の欄を空欄にしていたユーザーは、その方法では見つけられませんでした。

Stravaの現在のルールは、その隙間の一部を塞いでいます。ヘルプセンターによると、グローバルヒートマップは過去1年分のアクティビティを毎月更新して表示し、公開範囲が「Everyone」（全員）ではないアクティビティ、マップの表示設定で隠された部分、オプトアウトしたユーザーのアクティビティは除外されます。複数のユーザーがその地域で活動するまでは、ヒートは表示されません。

1. Step 1アクティビティをフォロワーのみにするアプリで、Youタブを開き、設定アイコンをタップしてからPrivacy Controlsを選び、ActivitiesをFollowersに設定します。自分だけで楽しむランニングならOnly Youにします。ProfileもFollowersにしてください。そうすれば、フォローするにはリクエストが必要で、承認を待つことになります。Stravaによると、これにより検索エンジンがプロフィールをインデックスするのも防げます。これで、見知らぬ人はルートをまったく見られなくなります。
2. Step 2自宅の住所を隠すPrivacy Controls > Map Visibilityで、住所を入力します。その後Stravaは、過去または将来のアクティビティのうち、近くで始まるか終わる部分を隠します。隠す範囲は、最大1マイル（約1.6キロメートル）まで選べます。職場、学校、パートナーの自宅も追加し、大きな距離を選んでください。「大きければ大きいほどよい」と、KU Leuvenの研究者Karel Dhondtは述べています。
3. Step 3すべての出発地点と終了地点を隠すマップの表示設定の2つ目の選択肢は、将来のすべてのアクティビティについて、どこで始まるものでも出発地点と終了地点を隠します。ホテル、友人の家、追加し忘れた新しい住所などもカバーされます。初期値は200メートルで、距離を長くするほど多く隠れます。マップをまったく表示したくない場合は、3つ目の選択肢でマップ全体を隠せます。
4. Step 4出発と終了の場所を変えるKU Leuvenの研究者は、出発地点と終了地点を毎回変えることも勧めています。開始ボタンを押す前に数分歩き、自分の通りに曲がる前に記録を止めてください。隠されたゾーンは、ルートが実際にたどり着かなかった扉までは明かせません。
5. Step 5ヒートマップからオプトアウトするPrivacy Controlsで、Stravaの集計機能にデータを提供する設定をオフにします。現在のヘルプページではProduct Improvementsと呼ばれており、古いページでは集計データの利用と呼ばれていました。Stravaによると、オプトアウトしたデータは、グローバルヒートマップとStrava Metroから除外されます。
6. Step 6プロフィールの内容を確認するNC Stateのチームは、特定の町を登録しているすべての人を検索して、ユーザーを見つけました。プロフィールには都市名を書かないか、広い地域名にとどめてください。
7. Step 7FlybyはオフのままにするFlybyは初期設定でオフになっており、「Everyone」に表示されるアクティビティだけが含まれます。オプトインしている場合は、オプトアウトに戻すことを検討してください。

新しいフォロワーは、まず承認を求める必要があります。ここで保護者の出番です。自宅から始まるクラブの練習や通学ランも、承認されたフォロワーには同じ行動パターンとして見えます。そのため、フォロワーが誰なのかを確認し、マップの表示設定で自宅の住所を追加してください。10代のアクティビティも、子どもの写真が見知らぬ人に何を伝えるかと同じ話題として考える必要があります。

ゾーンの仕組みも違いました。Stravaは200メートルから1.6キロメートルまでの円を提供し、Garmin Connectは100メートルから1キロメートルまでの円を提供していました。一方、Komootは円ではなくランダムな形の領域を使っており、研究者は、それによってゾーンが割り出しにくくなると指摘しています。どのアプリでも、最初に変えるべき設定は、アクティビティを公開状態にしている設定です。

マップを隠しても、隠れるのは線だけです。EXIF情報の削除で、ファイルから座標を取り除けます。また、自撮り1枚で住んでいる場所がわかる理由では、カメラが拾う手がかりを取り上げています。たとえば、玄関の番地、道路標識、窓からの眺めなどです。同じ角で毎週撮った写真は、写真のメタデータのプライバシーリスクで説明されているような行動パターンを作ってしまいます。

Stravaは写真も掲載します。新しい成人アカウントでは、Public Photos on Routesが初期状態でオンになっているため、公開アクティビティの写真がStravaのコミュニティルートに表示されることがあります。アカウントとは結びつけられません。隠した住所の内側で撮影された写真は除外されます。この設定はPrivacy Controlsでオフにできます。

geospys.comでの写真分析は、GeoSpy Premiumに含まれます。料金は週7.99米ドル、または年29.99米ドルです（年額プランを見る）。公正な利用の範囲内であれば無制限で、いつでも解約できます。推定されるのは都市と国で、住所ではありません。GeoSpy iPhoneアプリには無料トライアルがあります。