Czy Strava jest bezpieczna? Badacze znaleźli ukryty dom

W 2023 roku, kilka godzin przed przyjazdem Joego Bidena do hotelu w San Francisco, gdzie zatrzymał się na rozmowy z Xi Jinpingiem, jeden z agentów Secret Service wybrał się na bieg z tego hotelu i zapisał trasę w Stravie. Francuski dziennik Le Monde odnalazł ten bieg. Jak podała agencja Associated Press, śledząc publiczne profile Stravy, dziennik znalazł 26 agentów Secret Service, 12 członków francuskiej grupy ochrony prezydenta i sześciu członków rosyjskiej Federalnej Służby Ochrony.

Nic w tych biegach nie było niezwykłego. Strava pokazuje aktywności dorosłego wszystkim, dopóki ktoś nie zmieni ustawienia, a miejsce, z którego trasa zaczyna się najczęściej, to dom albo miejsce pracy. Strava oferuje sposoby ukrycia tego, gdzie trasa się zaczyna i kończy. Ten poradnik pokazuje, co się stało, gdy badacze próbowali obejść te zabezpieczenia, co może zdradzić mapa cieplna Stravy i które ustawienia faktycznie chronią twój adres.

Strava twierdzi, że ma ponad 195 milionów sportowców w ponad 185 krajach, a jej centrum pomocy wymienia domyślne ustawienia prywatności, z którymi zaczyna każde nowe konto dorosłego. Profil, aktywności i aktywności grupowe są widoczne dla Everyone. Flyby, które odtwarza twoją aktywność obok aktywności innych osób w pobliżu, jest ustawione na No One. Widoczność mapy ukrywa pierwsze i ostatnie 200 metrów map przyszłych aktywności.

Publiczna aktywność pokazuje trasę na mapie, moment, w którym się odbyła, i przebytą odległość. Jedna aktywność to linia; kilka miesięcy to rutyna, a punkt startu prawie się nie przesuwa. Konta otwierane przez osoby poniżej 18 lat zaczynają od surowszych ustawień, o czym niżej.

Mapa cieplna, którą Strava udostępniła w listopadzie 2017 roku, pokazywała miliard aktywności, według firmy ponad 3 biliony punktów GPS, jako świecące linie na ciemnej mapie. W styczniu 2018 roku Nathan Ruser, analityk Institute for United Conflict Analysts, wskazał, że bazy USA są „wyraźnie identyfikowalne i możliwe do zmapowania”. W Afganistanie, Dżibuti i Syrii, jak podał Guardian, użytkownicy Stravy wydawali się prawie wyłącznie zagranicznym personelem wojskowym, więc bazy wyróżniały się. Powiększenie jednej dużej bazy pokazało jej układ wewnętrzny, odtworzony z tras biegowych żołnierzy.

Śledztwo Le Monde z 2024 roku poszło inną drogą: śledziło pojedyncze profile. Dzięki biegom ochroniarzy Emmanuela Macrona umieściło francuskiego prezydenta w Honfleur podczas prywatnego weekendu w 2021 roku, który nie figurował w jego oficjalnym kalendarzu. Z kolei amerykańska Secret Service przekazała Le Monde: „Nie uważamy, by wystąpiły jakiekolwiek skutki dla operacji ochronnych ani zagrożenia dla ochranianych osób.”

W lipcu 2025 roku przyszła kolej na Szwecję. Dziennik Dagens Nyheter poinformował, że siedmiu członków szwedzkiej służby bezpieczeństwa udostępniło biegi i przejażdżki, które ujawniły prywatne wakacje rodziny królewskiej, jak podał NBC News. Wcześniejsze artykuły gazety wykazały, że dane z treningów ochroniarzy ujawniły szczegóły dotyczące premiera Ulfa Kristerssona co najmniej 35 razy, w tym jego trasy biegowe, podróże zagraniczne i prywatny adres. Strava powiedziała NBC News, że nie doszło do wycieku ani naruszenia danych użytkowników, i że oczekuje, by użytkownicy z wrażliwych zawodów korzystali z dostępnych ustawień prywatności.

W żadnym z tych przypadków Strava nie została zhakowana. Aktywności były publiczne, a resztę zdradziły miejsca, z których startowały.

Codzienny przykład to kradzież roweru. W 2015 roku Mark Leigh, kolarz z Failsworth pod Manchesterem, powiedział Manchester Evening News, że dzień po przejażdżce, którą zarejestrował w Stravie, włamano się do jego garażu i zabrano dwa rowery, warte 500 i 1000 funtów. Nic innego nie zginęło, a on uważał, że złodzieje namierzyli go przez aplikację. Nie wiedział o ustawieniu ukrywającym dom, jak podał The Register.

Badacze testowali taki mechanizm więcej niż raz. W 2022 roku zespół z KU Leuven w Belgii przebadał strefy prywatności Stravy: okręgi wokół chronionego adresu, wewnątrz których trasa jest ukryta przed innymi. Ich atak wykorzystał trzy rzeczy, które każdy mógł zobaczyć: mapę ulic, punkty, w których trasa wchodziła do ukrytego okręgu, oraz dystanse, które wciąż liczyły ukrytą część. Na podstawie kilku aktywności szukali na siatce ulic miejsca, które najlepiej pasowało do wszystkich tych dystansów.

„Spośród 1,4 miliona aktywności Stravy, które przeanalizowaliśmy, udało nam się odsłonić nawet 85 procent ukrytych lokalizacji, opierając się wyłącznie na dodatkowych danych, które były publicznie dostępne” – powiedział badacz Victor Le Pochat. Ta liczba dotyczyła stref 200-metrowych, czyli rozmiaru, jaki wybierała większość użytkowników. Większe strefy pomagały, ale nie kończyły sprawy: skuteczność wynosiła 55% przy 1 km i 39% przy 1,6 km, czyli największym rozmiarze, jaki Strava oferowała wtedy.

Strava od tego czasu zmieniła tę funkcję. Widoczność mapy może teraz ukrywać obszar wokół adresu, ukrywać początek i koniec każdej aktywności, gdziekolwiek się odbywa, albo ukrywać całą mapę, a nowe konta dorosłych domyślnie mają ukryte 200 metrów na obu końcach. Artykuł z KU Leuven omawiał ukrywanie ustalonej odległości na obu końcach, co Strava wprowadziła niedawno, i stwierdzał, że tylko jeden krok ataku staje się przez to mniej wiarygodny: punkty odcięcia i dystanse wciąż były dostępne do przewidywania.

Strona pomocy Stravy otwarcie mówi o granicy. Ukrywanie części mapy, jak pisze, „nie oznacza, że nie byłoby możliwe wydedukowanie ukrytej lokalizacji z użyciem dodatkowych informacji”, a osobom, które chcą, by mapa w ogóle nie była pokazywana, wskazuje opcję ukrywającą ją całkowicie. Strava powiedziała też Cycling Weekly w 2023 roku, że nie było „żadnych wycieków ani cyberataków dotyczących danych Stravy ani społeczności w związku z tymi badaniami”. Badacze nigdy nie twierdzili inaczej: ich metoda wykorzystywała wyłącznie to, co aplikacja pokazywała publicznie, czyli wyciek tego samego rodzaju, jaki badacze znaleźli w aplikacjach randkowych.

„Na gęsto zaludnionym obszarze, z wieloma trasami i użytkownikami, danych jest tak dużo, że śledzenie konkretnej osoby byłoby niezwykle trudne” – powiedział Anupam Das, starszy autor badania. „Jednak na obszarach z kilkoma użytkownikami lub trasami robi się z tego prosta eliminacja”, szczególnie dla bardzo aktywnego użytkownika. Jego zespół oznaczył 143799 punktów zainteresowania na mapie cieplnej i dopasował 11165 użytkowników Stravy do rejestrów wyborców, by sprawdzić swoje przypuszczenia.

Wyszukiwanie było równie proste. Badacze wyszukiwali użytkowników po miejscowości podanej w profilu, a w tamtym czasie nawet konta ustawione jako tylko dla obserwujących pojawiały się w tym wyszukiwaniu. Użytkowników, którzy zostawili miasto puste, nie dało się tak znaleźć.

Obecne zasady Stravy zamykają część tej luki. Centrum pomocy mówi, że Globalna mapa cieplna pokazuje aktywność z ostatniego roku, aktualizowaną co miesiąc, i pomija aktywności niewidoczne dla wszystkich, części ukryte przez ustawienia widoczności mapy oraz aktywności osób, które zrezygnowały. Żadne ciepło nie pojawia się w obszarze, dopóki nie będzie tam aktywnych wielu użytkowników.

1. Step 1Ustaw aktywności tylko dla obserwującychW aplikacji otwórz kartę You, dotknij ikony ustawień, potem Privacy Controls, i ustaw Activities na Followers albo na Only You w przypadku biegów, które zachowujesz dla siebie. Ustaw też Profile na Followers, aby ludzie musieli prosić o obserwowanie i czekać na twoją zgodę; Strava mówi, że to powstrzymuje też wyszukiwarki przed indeksowaniem profilu. Obcy nie zobaczą wtedy żadnej trasy.
2. Step 2Ukryj adres domowyW Privacy Controls > Map Visibility wpisz swój adres. Strava ukryje wtedy część każdej przeszłej i przyszłej aktywności, która zaczyna się lub kończy w pobliżu, a ty wybierasz, jak dużą, do mili (około 1,6 km). Dodaj też pracę, szkołę lub dom partnera i wybierz duży dystans: „Im większy, tym lepiej”, powiedział badacz KU Leuven Karel Dhondt.
3. Step 3Ukryj początek i koniec wszystkiegoDruga opcja Map Visibility ukrywa początek i koniec wszystkich przyszłych aktywności, bez względu na to, gdzie się zaczynają. Obejmuje to hotel, mieszkanie znajomego albo nowy adres, którego nie dodano do listy. Domyślnie to 200 metrów; większy dystans ukrywa więcej. Jeśli nie chcesz pokazywać żadnej mapy, trzecia opcja ukrywa całą mapę.
4. Step 4Zaczynaj i kończ gdzie indziejBadacze z KU Leuven radzą też zmieniać miejsce startu i zakończenia. Przejdź kilka minut, zanim naciśniesz start, i zatrzymaj nagrywanie, zanim skręcisz w swoją ulicę. Ukryta strefa nie zdradzi drzwi, do których trasa nigdy nie dociera.
5. Step 5Zrezygnuj z mapy cieplnejW Privacy Controls wyłącz ustawienie, które dorzuca twoje dane do zbiorczych funkcji Stravy: Product Improvements w obecnych stronach pomocy Stravy, a w starszych nazywane zbiorczym wykorzystaniem danych. Strava mówi, że dane osób, które zrezygnowały, są pomijane w Globalnej mapie cieplnej i w Strava Metro.
6. Step 6Sprawdź, co mówi twój profilZespół NC State znajdował użytkowników, wyszukując wszystkich, którzy podali dane miasto. Pomiń miasto w profilu albo podaj je ogólnie.
7. Step 7Wyłącz FlybyFlyby jest domyślnie wyłączone i obejmuje tylko aktywności widoczne dla wszystkich. Jeśli zostało włączone, rozważ ponowne wyłączenie.

Nowi obserwujący muszą też najpierw poprosić o zgodę i tu wchodzą rodzice. Trening w klubie albo przejazd do szkoły, który zaczyna się w domu, pokazuje ten sam wzór każdemu zatwierdzonemu obserwującemu, więc przyjrzyj się, kim są, i dodaj adres domowy w Map Visibility. Aktywności nastolatka warto omówić w tej samej rozmowie co to, co zdjęcia dziecka mówią obcym.

Różniły się też same strefy. Strava oferowała okręgi od 200 metrów do 1,6 km, a Garmin Connect od 100 metrów do 1 km, podczas gdy Komoot używał losowo ukształtowanego obszaru zamiast okręgu, co według badaczy utrudnia wyznaczenie strefy. Niezależnie od aplikacji pierwszym ustawieniem do zmiany jest to, które sprawia, że aktywności są publiczne.

Ukryta mapa ukrywa tylko linię. Usunięcie danych EXIF wyciąga współrzędne z pliku, a jedno selfie może zdradzić, gdzie mieszkasz wymienia wskazówki, które aparat wychwytuje: numery domów, znaki uliczne, widok z okna. Zdjęcia z tego samego rogu, tydzień po tygodniu, tworzą wzór opisany w ryzykach prywatności metadanych zdjęć.

Strava też umieszcza zdjęcia. Nowe konta dorosłych zaczynają z włączonym Public Photos on Routes, więc zdjęcia z publicznych aktywności mogą pojawić się na społecznościowych trasach Stravy, bez powiązania z twoim kontem. Zdjęcia zrobione w ukrytym przez ciebie adresie są pomijane, a ustawienie można wyłączyć w Privacy Controls.

Analiza zdjęć na geospys.com jest częścią GeoSpy Premium: 7,99 USD tygodniowo lub 29,99 USD rocznie (wybierz roczny plan), bez limitu w ramach rozsądnego użytku i z możliwością anulowania w dowolnym momencie. Szacuje miasto i kraj, a nie adres. Aplikacja GeoSpy na iPhone ma bezpłatny okres próbny.