Strava é seguro? Pesquisadores acharam casas mesmo assim

Em 2023, algumas horas antes de Joe Biden chegar ao hotel de São Francisco onde ficaria para conversas com Xi Jinping, da China, um dos seus agentes do Serviço Secreto saiu para correr a partir daquele hotel e registrou o trajeto no Strava. O jornal francês Le Monde encontrou essa corrida, segundo a Associated Press, ao rastrear os perfis públicos do Strava de 26 agentes do Serviço Secreto, 12 membros do grupo de segurança presidencial da França e seis integrantes do Serviço Federal de Proteção da Rússia.

Nada nessas corridas era incomum. O Strava mostra as atividades de um adulto a todos, a menos que a configuração seja alterada, e o lugar de onde a rota costuma começar é, com frequência, uma casa ou um local de trabalho. O Strava oferece formas de ocultar onde uma rota começa e termina. Este guia examina o que aconteceu quando pesquisadores tentaram enxergar através delas, o que o mapa de calor do Strava pode revelar e quais configurações realmente mantêm seu endereço fora do mapa.

O Strava diz ter mais de 195 milhões de atletas em mais de 185 países, e sua central de ajuda lista as configurações de privacidade padrão com que toda conta de adulto nova começa. Perfil, atividades e atividades em grupo ficam visíveis para Everyone. O Flyby, que reproduz a sua atividade ao lado das de outras pessoas próximas, vem em No One. O Map Visibility oculta os primeiros e os últimos 200 metros dos mapas das atividades futuras.

Uma atividade pública mostra a rota no mapa, quando aconteceu e a distância percorrida. Uma atividade é uma linha; alguns meses delas formam uma rotina, com um ponto de partida que quase não muda. Contas abertas por menores de 18 anos começam com configurações mais rígidas, tratadas mais adiante.

O mapa de calor divulgado pelo Strava em novembro de 2017 reuniu um bilhão de atividades e, segundo a empresa, mais de 3 trilhões de pontos de GPS, em forma de linhas luminosas sobre um mapa escuro. Em janeiro de 2018, Nathan Ruser, analista do Institute for United Conflict Analysts, apontou que as bases dos EUA eram “claramente identificáveis e mapeáveis”. No Afeganistão, em Djibuti e na Síria, segundo o Guardian, os usuários do Strava pareciam ser quase todos militares estrangeiros, e por isso as bases se destacavam. Ao dar zoom em uma grande base, era possível ver seu layout interno, traçado pelas rotas de corrida dos soldados.

A investigação de 2024 do Le Monde usou perfis individuais. Ao seguir as corridas dos seguranças de Emmanuel Macron, colocou o presidente francês em Honfleur, em um fim de semana particular de 2021 que não constava da agenda oficial. Já o Serviço Secreto dos EUA disse ao Le Monde: “Não avaliamos que tenha havido qualquer impacto nas operações de proteção ou ameaças aos protegidos.”

Em julho de 2025, foi a vez da Suécia. O jornal Dagens Nyheter informou que sete integrantes do serviço de segurança do país haviam compartilhado corridas e pedaladas que revelavam as férias privadas da família real, segundo a NBC News. Reportagens anteriores do jornal tinham descoberto que os dados de treino dos seguranças expuseram detalhes sobre o primeiro-ministro Ulf Kristersson em pelo menos 35 ocasiões, incluindo suas rotas de corrida, viagens ao exterior e um endereço particular. O Strava disse à NBC News que não houve vazamento nem violação de dados de usuários e que espera que usuários de profissões sensíveis usem as configurações de privacidade disponíveis.

Em nenhum desses casos o Strava foi invadido. As atividades estavam públicas, e os lugares de onde começavam disseram o resto.

A versão cotidiana é um roubo de bicicleta. Em 2015, Mark Leigh, ciclista de Failsworth, perto de Manchester, contou ao Manchester Evening News que sua garagem foi arrombada na manhã seguinte a um pedal que ele havia registrado no Strava, e suas duas bicicletas, de £500 e £1.000, foram levadas. Nada mais foi levado, e ele acreditava que os ladrões o haviam encontrado pelo aplicativo. Ele não conhecia a configuração que oculta a casa, segundo o The Register.

Pesquisadores testaram esse tipo de configuração mais de uma vez. Em 2022, uma equipe da KU Leuven, na Bélgica, estudou as zonas de privacidade do Strava: círculos em torno de um endereço protegido, dentro dos quais a rota fica oculta para outras pessoas. O ataque deles usou três coisas que qualquer um podia ver: o mapa das ruas, os pontos em que uma rota cruzava o círculo oculto e os valores de distância, que ainda contavam o trecho escondido. Em várias atividades, procuraram o ponto na malha de ruas que melhor se ajustava a todas essas distâncias.

“Entre 1,4 milhão de atividades do Strava que analisamos, conseguimos descobrir até 85% dos locais ocultos mesmo assim, com base apenas nos dados adicionais que estavam publicamente disponíveis”, disse o pesquisador Victor Le Pochat. Esse número se refere a zonas de 200 metros, o tamanho que a maioria dos usuários escolheu. Zonas maiores ajudaram, mas não resolveram: a taxa de sucesso foi de 55% a 1 km e de 39% a 1,6 km, o maior tamanho que o Strava oferecia na época.

O Strava mudou o recurso desde então. O Map Visibility agora pode ocultar a área em torno de um endereço, ocultar o início e o fim de todas as atividades onde quer que ocorram, ou ocultar o mapa inteiro, e contas de adultos novas ganham 200 metros ocultos em cada ponta por padrão. O artigo da KU Leuven discutiu a ocultação de uma distância fixa em cada ponta, que o Strava havia introduzido recentemente, e concluiu que isso só tornava uma etapa do ataque menos confiável: os pontos de corte e as distâncias continuavam disponíveis para a previsão.

A própria central de ajuda do Strava é franca sobre o limite. Ocultar parte de um mapa, diz ela, “não significa que seria impossível para alguém deduzir um local oculto usando informações adicionais”, e ela aponta para a opção que oculta tudo para quem não quer nenhum mapa exibido. Em 2023, o Strava também disse ao Cycling Weekly que não houve “vazamentos nem ataques cibernéticos envolvendo o Strava ou os dados de nossa comunidade” relacionados a essa pesquisa. Os pesquisadores nunca afirmaram o contrário: o método usou apenas o que o aplicativo mostrava publicamente, um vazamento do mesmo tipo que pesquisadores encontraram em aplicativos de namoro.

“Em uma área densamente povoada, com muitas rotas e muitos usuários, há tantos dados que seria extremamente difícil rastrear qualquer pessoa específica”, disse Anupam Das, autor sênior do estudo. “No entanto, em áreas com poucos usuários e/ou poucas rotas, torna-se um processo simples de eliminação”, especialmente para um usuário muito ativo. A equipe sinalizou 143.799 pontos de interesse no mapa de calor e cruzou 11.165 usuários do Strava com registros eleitorais para verificar seus palpites.

A busca também foi simples. Os pesquisadores procuraram usuários pela cidade informada em seus perfis, e, na época, até contas configuradas como apenas para seguidores apareciam nessa busca. Usuários que deixaram a cidade em branco não podiam ser encontrados dessa forma.

As regras atuais do Strava fecham parte dessa brecha. A central de ajuda diz que o Global Heatmap mostra atividades do último ano, atualizado mensalmente, e deixa de fora atividades que não estão configuradas como Everyone, trechos ocultos pelas configurações de visibilidade do mapa e atividades de pessoas que optaram por sair. Nenhum calor aparece em uma área até que vários usuários tenham sido ativos ali.

1. Step 1Deixe as atividades só para seguidoresNo aplicativo, abra a aba Você, toque no ícone de configurações e depois em Privacy Controls, e defina Activities como Followers, ou como Only You para corridas que você quer manter para si. Defina também Profile como Followers, para que as pessoas precisem pedir para seguir você e esperem sua aprovação; o Strava diz que isso também impede os buscadores de indexar seu perfil. Desconhecidos então não veem nenhuma rota.
2. Step 2Oculte seu endereçoEm Privacy Controls > Map Visibility, digite seu endereço. O Strava então oculta a parte de qualquer atividade passada ou futura que comece ou termine por perto, e você escolhe quanto, até uma milha (cerca de 1,6 km). Adicione também o trabalho, a escola ou a casa de um parceiro, e escolha uma distância grande: “Quanto maior, melhor”, disse o pesquisador da KU Leuven Karel Dhondt.
3. Step 3Oculte o início e o fim de tudoA segunda opção de Map Visibility oculta o início e o fim de todas as atividades futuras, onde quer que comecem, o que cobre um hotel, a casa de um amigo ou um endereço novo que você esqueceu de cadastrar. O padrão é 200 metros; uma distância maior oculta mais. Para não exibir mapa algum, a terceira opção oculta o mapa inteiro.
4. Step 4Comece e termine em outro lugarOs pesquisadores da KU Leuven também recomendam variar onde você começa e termina. Caminhe alguns minutos antes de apertar iniciar e pare a gravação antes de entrar na sua rua. Uma zona oculta não pode revelar uma porta que a rota nunca alcança.
5. Step 5Saia do mapa de calorEm Privacy Controls, desligue a configuração que contribui com seus dados para os recursos agregados do Strava: Product Improvements nas páginas de ajuda atuais, chamada de uso de dados agregados nas mais antigas. O Strava diz que dados de quem saiu ficam de fora do Global Heatmap e do Strava Metro.
6. Step 6Confira o que seu perfil dizA equipe da NC State encontrou usuários buscando todos os que informavam uma determinada cidade. Deixe a cidade de fora do seu perfil, ou informe algo amplo.
7. Step 7Desligue o FlybyO Flyby vem desligado por padrão e só inclui atividades visíveis a todos. Se você o ativou, considere desligar de novo.

Novos seguidores também precisam pedir aprovação antes, e é aí que os pais entram. Uma sessão de clube ou um trajeto escolar que começa em casa mostra o mesmo padrão para todo seguidor aprovado, então observe quem são eles e acrescente o endereço de casa em Map Visibility. As atividades de um adolescente devem entrar na mesma conversa sobre o que as fotos de uma criança revelam a desconhecidos.

As zonas também variavam. O Strava oferecia círculos de 200 metros a 1,6 km, e o Garmin Connect, de 100 metros a 1 km, enquanto o Komoot usava uma área de formato aleatório em vez de um círculo, o que, segundo os pesquisadores, torna a zona mais difícil de deduzir. Seja qual for o aplicativo, a primeira configuração a mudar é aquela que torna as atividades públicas.

Um mapa oculto esconde só a linha. Remover os dados EXIF tira as coordenadas do arquivo, e uma selfie pode revelar onde você mora lista as pistas que uma câmera capta: números de porta, placas de rua, a vista de uma janela. Fotos da mesma esquina, semana após semana, formam o tipo de padrão descrito em riscos de privacidade dos metadados de fotos.

O Strava também publica fotos. Contas novas de adultos começam com Public Photos on Routes ativado, então fotos de atividades públicas podem aparecer nas rotas da comunidade do Strava, sem vínculo com sua conta. Fotos tiradas dentro de um endereço que você ocultou ficam de fora, e a configuração pode ser desligada em Privacy Controls.

A análise de fotos no geospys.com faz parte do GeoSpy Premium: US$ 7,99 por semana ou US$ 29,99 por ano (assine o plano anual), sem limite dentro do uso justo e cancelável a qualquer momento. Ele estima uma cidade e um país, não um endereço. O app GeoSpy para iPhone tem teste gratuito.