스트라바 위치 노출 안전할까? 숨긴 집도 드러나요

2023년 조 바이든이 중국의 시진핑과 회담하려고 머문 샌프란시스코 호텔에 도착하기 몇 시간 전, 그의 비밀경호국 요원 한 명이 그 호텔에서 달리기를 하며 경로를 Strava에 기록했어요. AP 통신에 따르면 프랑스 신문 르몽드는 비밀경호국 요원 26명, 프랑스 대통령 경호 그룹 구성원 12명, 러시아 연방경호국 구성원 6명의 공개 Strava 프로필을 추적하다 그 달리기를 찾아냈어요.

그런 달리기에 특별한 점은 없었어요. 설정을 바꾸지 않으면 Strava는 성인의 활동을 모두에게 보여 주고, 경로가 시작되는 지점은 흔히 집이나 직장이에요. Strava에는 경로의 출발과 도착을 숨기는 방법이 있어요. 이 가이드는 연구자들이 그 방법을 뚫어 보려 했을 때 무슨 일이 있었는지, Strava 히트맵이 무엇을 드러낼 수 있는지, 그리고 실제로 주소를 지도에서 감추는 설정이 무엇인지 살펴봐요.

Strava는 185개 넘는 국가에 1억 9,500만 명이 넘는 운동선수가 있다고 밝히며, 도움말 센터에는 새 성인 계정이 처음에 갖는 개인정보 기본 설정이 나와 있어요. 프로필, 활동, 그룹 활동은 모두에게 보여요. 근처에 있는 다른 사람들의 활동과 함께 내 활동을 재생하는 Flyby는 아무도로 설정되어 있어요. 지도 공개 범위는 앞으로의 활동 지도에서 처음과 끝 200미터를 숨겨요.

공개 활동은 지도에 경로를 보여 주며, 언제 있었고 얼마나 멀리 갔는지도 함께 드러내요. 활동 하나는 선 하나이지만, 몇 달치가 모이면 일상이 되고, 시작 지점은 거의 움직이지 않아요. 18세 미만이 연 계정은 더 엄격한 설정으로 시작하며, 이는 아래에서 다뤄요.

Strava가 2017년 11월 공개한 히트맵은 회사 발표에 따르면 10억 건의 활동과 3조 개가 넘는 GPS 지점을 어두운 지도 위에 빛나는 선으로 그렸어요. 2018년 1월 Institute for United Conflict Analysts의 분석가 Nathan Ruser는 미국 기지가 “뚜렷이 식별되고 지도에 표시될 수 있다”고 지적했어요. 가디언이 보도한 바에 따르면 아프가니스탄, 지부티, 시리아에서는 Strava 사용자 대부분이 외국 군인으로 보였고, 그래서 기지가 두드러졌어요. 큰 기지 하나를 확대하면 병사들의 조깅 경로로 그려진 내부 배치까지 보였어요.

르몽드의 2024년 조사는 개별 프로필을 활용했어요. 에마뉘엘 마크롱 대통령의 경호원들이 달린 기록을 따라가, 대통령이 옹플뢰르(Honfleur)에 있었다는 사실을 짚어냈어요. 그것은 2021년의 사적인 주말 방문이었고 공식 일정에는 없던 것이었어요. 미국 비밀경호국은 르몽드에 이렇게 밝혔어요. “보호 작전이나 보호 대상자에 대한 위협에 어떤 영향이 있었다고 판단하지 않아요.”

2025년 7월에는 스웨덴 차례였어요. 일간지 Dagens Nyheter는 보안국 직원 일곱 명이 왕실의 사적인 휴가를 드러내는 달리기와 라이딩을 공유했다고 보도했다고, NBC News가 전했어요. 이 신문의 앞선 보도는 경호원들의 운동 데이터가 최소 35차례에 걸쳐 울프 크리스테르손 총리의 세부 정보를 드러냈다고 밝혔어요. 그의 달리기 경로, 해외 여행, 사적인 주소가 포함돼요. Strava는 NBC News에 사용자 데이터의 유출이나 침해는 없었다고 말했으며, 민감한 직업의 사용자들이 제공되는 개인정보 설정을 사용할 것으로 기대한다고 밝혔어요.

이 사례 중 어느 것도 Strava가 해킹당한 것이 아니에요. 활동은 공개되어 있었고, 출발 지점이 나머지를 말해 주었어요.

일상적인 사례는 자전거 도난이에요. 2015년 맨체스터 근처 페일스워스의 자전거 라이더 Mark Leigh는 Manchester Evening News에, Strava로 기록한 라이딩 다음 날 아침 차고가 털렸고 500파운드와 1,000파운드짜리 자전거 두 대를 잃었다고 말했어요. 다른 것은 없어지지 않았고, 그는 도둑들이 앱을 통해 자신을 찾아냈다고 믿었어요. 그는 집을 숨기는 설정이 있다는 것을 몰랐다고 The Register가 전했어요.

연구자들은 이런 종류의 설정을 한 번 이상 시험했어요. 2022년 벨기에 KU 루벤(KU Leuven)의 연구팀은 Strava의 개인정보 보호 구역을 연구했어요. 보호된 주소 주변의 원으로, 그 안에서는 경로가 다른 사람들에게 숨겨져요. 그들의 공격은 누구나 볼 수 있는 세 가지를 사용했어요. 도로 지도, 경로가 숨겨진 원 안으로 들어가는 지점, 그리고 숨겨진 구간도 여전히 포함하는 거리 수치예요. 여러 활동에 걸쳐 그들은 이 거리들에 모두 가장 잘 맞는 도로 격자 위의 지점을 찾았어요.

“140만 건이 넘는 Strava 활동을 분석했는데, 공개된 추가 데이터만으로도 숨겨진 위치의 최대 85%를 드러낼 수 있었어요.” 연구원 Victor Le Pochat의 말이에요. 이 수치는 사용자들이 가장 많이 고르는 200미터 구역에 대한 거예요. 더 큰 구역은 도움이 되었지만 완전히 막지는 못했어요. 1km 구역에서의 성공률은 55%였고, 당시 Strava가 제공한 가장 큰 크기인 1.6km 구역에서는 39%였어요.

Strava는 그 뒤로 기능을 바꿨어요. 지도 공개 범위에서는 이제 주소 주변 영역을 숨기거나, 어디에서 일어나든 모든 활동의 시작과 끝을 숨기거나, 지도 전체를 숨길 수 있어요. 새 성인 계정은 기본적으로 양쪽 끝 200미터가 숨겨져요. KU 루벤 논문은 Strava가 최근 도입한 양쪽 끝에서 일정 거리를 숨기는 기능을 다루었는데, 이 기능은 공격의 한 단계를 덜 정확하게 만들 뿐이라고 썼어요. 잘라낸 지점과 거리 정보는 예측에 여전히 쓸 수 있었기 때문이에요.

Strava의 자체 도움말 페이지는 한계를 솔직하게 인정해요. 지도의 일부를 숨기는 것이 “추가 정보를 이용해 누군가 숨겨진 위치를 추론하는 것이 불가능하다는 뜻은 아니에요”라고 적혀 있고, 지도를 전혀 보이지 않게 하려면 전체를 숨기는 옵션을 쓰라고 안내해요. Strava는 2023년 Cycling Weekly에도 이 연구와 관련해 “Strava나 우리 커뮤니티의 데이터에 관한 유출이나 사이버 공격은 전혀 없었다”고 말했어요. 연구진은 그렇다고 말한 적이 없어요. 그들의 방법은 앱이 공개적으로 보여 준 것만 썼는데, 이는 데이팅 앱에서 연구자들이 찾아낸 것과 같은 종류의 정보 노출이에요.

연구의 수석 저자인 Anupam Das는 이렇게 말했어요. “사람이 밀집해 있고 경로와 사용자가 많은 곳에서는 데이터가 너무 많아 특정인을 추적하기가 매우 어려워요. 하지만 사용자나 경로가 거의 없는 곳에서는 단순한 소거법이 돼요.” 특히 활동량이 많은 사용자라면 더 그래요. 연구팀은 히트맵에서 143,799개의 관심 지점을 표시하고, 추측을 확인하려고 11,165명의 Strava 사용자를 유권자 명부와 대조했어요.

검색도 마찬가지로 단순했어요. 연구진은 사용자 프로필에 적힌 도시 이름으로 사용자를 찾았는데, 당시에는 팔로워에게만 공개한 계정도 그 검색에 나타났어요. 도시를 비워 둔 사용자는 그런 방식으로 찾을 수 없었어요.

Strava의 현재 규칙은 그 틈의 일부를 막아요. 도움말 센터에 따르면 Global Heatmap은 지난 1년의 활동을 매달 갱신해 보여 주며, 모두에게 공개되지 않은 활동, 지도 공개 범위 설정으로 가려진 부분, 옵트아웃한 사람의 활동은 제외해요. 여러 사용자가 활동하기 전까지는 그 지역에 히트맵 표시가 나타나지 않아요.

1. Step 1활동을 팔로워에게만 공개하세요앱에서 You 탭을 열고 설정 아이콘을 누른 다음 Privacy Controls(개인정보 설정)를 누르세요. Activities(활동)를 Followers(팔로워)로 설정하거나, 혼자 간직하고 싶은 달리기라면 Only You(나만 보기)로 설정하세요. Profile(프로필)도 Followers로 설정하면 사람들이 팔로우하려면 요청하고 승인을 기다려야 해요. Strava는 이렇게 하면 검색 엔진이 프로필을 색인하는 것도 막힌다고 말해요. 그러면 낯선 사람은 경로를 전혀 볼 수 없어요.
2. Step 2집 주소를 숨기세요Privacy Controls > Map Visibility에서 주소를 입력하세요. 그러면 Strava는 그 주변에서 시작하거나 끝나는 과거와 미래의 활동 일부를 숨기며, 얼마나 숨길지는 최대 1마일(약 1.6km)까지 고를 수 있어요. 직장, 학교, 파트너의 집도 추가하고 거리는 크게 잡으세요. KU 루벤의 연구자 Karel Dhondt의 말처럼 “클수록 좋아요.”
3. Step 3모든 활동의 시작과 끝을 숨기세요두 번째 Map Visibility 옵션은 어디에서 시작하든 앞으로 모든 활동의 시작과 끝을 숨겨요. 호텔, 친구의 집, 추가하는 것을 잊은 새 주소까지 포함돼요. 기본값은 200미터이고, 거리를 늘리면 더 많이 숨겨요. 지도를 아예 보이지 않게 하려면 세 번째 옵션이 지도 전체를 숨겨요.
4. Step 4출발과 도착 장소를 바꾸세요KU 루벤 연구자들은 출발과 도착 장소를 다양하게 하라고도 조언했어요. 시작 버튼을 누르기 몇 분 전에 걸어가고, 집이 있는 골목으로 꺾어 들어가기 전에 기록을 멈추세요. 숨겨진 구역은 경로가 닿지 않는 문을 드러낼 수 없어요.
5. Step 5히트맵에서 빠지세요Privacy Controls에서 내 데이터를 Strava의 집계 기능에 기여하는 설정을 끄세요. 현재 도움말 페이지에서는 Product Improvements(제품 개선)라고 하며, 예전 도움말에서는 집계 데이터 사용이라고 불렀어요. Strava는 옵트아웃한 데이터가 Global Heatmap과 Strava Metro에서 제외된다고 말해요.
6. Step 6프로필에 무엇이 적혀 있는지 확인하세요NC State 연구팀은 특정 도시를 적은 모든 사람을 검색해 사용자를 찾았어요. 프로필에서 도시를 빼거나, 넓은 지역으로만 적어 두세요.
7. Step 7Flyby를 끄세요Flyby는 기본적으로 꺼져 있으며, 모두에게 보이는 활동만 포함해요. 켜 두었다면 다시 끄는 것을 고려하세요.

새 팔로워는 승인을 요청해야 하며, 여기서 부모가 나설 차례예요. 집에서 출발하는 클럽 훈련이나 등하교 경로는 승인받은 모든 팔로워에게 같은 패턴을 보여 줘요. 그러니 팔로워가 누구인지 살펴보고, 지도 공개 범위에서 집 주소를 추가하세요. 청소년의 활동은 아이의 사진이 낯선 사람에게 알려 주는 것과 같은 대화에 포함되어야 해요.

구역도 앱마다 달랐어요. Strava는 200미터에서 1.6km까지 원을 제공했고, Garmin Connect는 100미터에서 1km까지 제공했어요. Komoot은 원 대신 무작위 모양의 영역을 사용했는데, 연구진은 이것이 구역을 알아내기 더 어렵게 만든다고 지적했어요. 앱이 무엇이든, 가장 먼저 바꿀 설정은 활동을 공개로 만드는 설정이에요.

숨긴 지도는 선만 가려요. EXIF 정보 삭제는 파일에서 좌표를 없애고, 사진 한 장으로 사는 곳이 드러나는 이유는 카메라가 포착하는 단서, 즉 문 번호, 도로 표지판, 창밖 풍경을 설명해요. 같은 모퉁이에서 매주 찍은 사진은 사진 메타데이터 개인정보 유출에서 설명하는 패턴을 만들어요.

Strava는 사진도 공개 경로에 올려요. 새 성인 계정은 경로의 공개 사진(Public Photos on Routes)이 켜진 상태로 시작하므로, 공개 활동의 사진이 계정과 연결되지 않은 채 Strava의 커뮤니티 경로에 나타날 수 있어요. 숨긴 주소 안에서 찍은 사진은 제외되며, 이 설정은 Privacy Controls에서 끌 수 있어요.

geospys.com의 사진 분석은 GeoSpy Premium에 포함되며, 미국 달러 기준 주간 7.99달러 또는 연간 29.99달러예요(연간 구독 보기). 공정 사용 범위 안에서 무제한이며 언제든 해지할 수 있어요. 도시와 국가를 추정하며 주소는 추정하지 않아요. GeoSpy iPhone 앱에는 무료 체험이 있어요.