Strava güvenli mi? Gizlediğiniz ev yine de bulunabilir

2023'te, Joe Biden'ın Çin lideri Xi Jinping ile görüşmeler için kaldığı San Francisco'daki otele gelmesine birkaç saat kala, Gizli Servis ajanlarından biri bu otelden koşuya çıktı ve rotayı Strava'ya kaydetti. Associated Press'in aktardığına göre bu koşuyu Fransız gazetesi Le Monde buldu; gazete o sırada 26 Gizli Servis ajanının, Fransa cumhurbaşkanlığı koruma grubunun 12 üyesinin ve Rusya Federal Koruma Servisi'nin altı mensubunun herkese açık Strava profillerini izliyordu.

O koşuların hiçbirinde olağan dışı bir şey yoktu. Strava, ayar değiştirilmedikçe yetişkin bir kullanıcının etkinliklerini herkese gösterir; bir rotanın hep başladığı yer de çoğu zaman bir ev ya da iş yeridir. Strava, rotanın nerede başlayıp bittiğini gizlemenin yollarını sunuyor. Bu rehber, araştırmacılar bu önlemlerin ardını görmeye çalıştığında ne olduğuna, Strava ısı haritasının neleri ele verebileceğine ve adresinizi haritadan gerçekten uzak tutan ayarların hangileri olduğuna bakıyor.

Strava, 185'ten fazla ülkede 195 milyonu aşkın sporcusu olduğunu söylüyor; yardım merkezi de her yeni yetişkin hesabının başladığı gizlilik varsayılanlarını sıralıyor. Profil, etkinlikler ve grup etkinlikleri Everyone (herkes) için görünür. Etkinliğinizi çevredeki diğer insanların etkinlikleriyle birlikte yeniden oynatan Flyby, No One (hiç kimse) olarak ayarlıdır. Map Visibility ise gelecekteki etkinlik haritalarının ilk ve son 200 metresini gizler.

Herkese açık bir etkinlik, rotayı haritada, ne zaman yapıldığını ve ne kadar yol alındığını gösterir. Tek bir etkinlik bir çizgidir; birkaç aylık etkinlik ise başlangıç noktası neredeyse hiç değişmeyen bir düzendir. 18 yaşın altındakilerin açtığı hesaplar daha sıkı ayarlarla başlar; bunlara aşağıda değiniyoruz.

Strava'nın Kasım 2017'de yayımladığı ısı haritası, şirketin verdiği rakama göre 3 trilyondan fazla GPS noktasından oluşan bir milyar etkinliği karanlık bir harita üzerinde parlayan çizgiler olarak çizdi. Ocak 2018'de Institute for United Conflict Analysts'te analist olan Nathan Ruser, ABD üslerinin “açıkça tanımlanabilir ve haritalanabilir” olduğuna dikkat çekti. Guardian'ın aktardığına göre Afganistan'da, Cibuti'de ve Suriye'de Strava kullanıcılarının neredeyse tamamı yabancı askeri personel gibi görünüyordu; bu yüzden üsler öne çıkıyordu. Büyük bir üssün üzerine yaklaşıldığında, askerlerin koşu rotalarının çizdiği iç yerleşim düzeni görülebiliyordu.

Le Monde'un 2024 soruşturması ise bireysel profilleri kullandı. Emmanuel Macron'un koruma görevlilerinin koşularını izleyen gazete, Fransa cumhurbaşkanını resmi programında olmayan özel bir 2021 hafta sonunda Honfleur'da konumlandırdı. ABD Gizli Servisi ise Le Monde'a şunu söyledi: “Koruma operasyonları üzerinde herhangi bir etki olduğunu ya da korunan kişilere yönelik bir tehdit oluştuğunu değerlendirmiyoruz.”

Temmuz 2025'te sıra İsveç'e geldi. NBC News'ün aktardığına göre Dagens Nyheter gazetesi, ülkenin güvenlik servisinden yedi kişinin paylaştığı koşu ve bisiklet sürüşlerinin kraliyet ailesinin özel tatillerini ortaya çıkardığını yazdı. Gazetenin daha önceki haberlerinde, koruma görevlilerinin antrenman verilerinin Başbakan Ulf Kristersson hakkında en az 35 kez ayrıntı sızdırdığı, bunların arasında koşu rotalarının, yurt dışı gezilerinin ve özel adresinin de bulunduğu belirtilmişti. Strava, NBC News'e kullanıcı verilerinde bir sızıntı ya da ihlal yaşanmadığını, hassas mesleklerdeki kullanıcıların mevcut gizlilik ayarlarını kullanmasını beklediklerini söyledi.

Bu olayların hiçbirinde Strava'ya sızılmadı. Etkinlikler herkese açıktı ve başladıkları yerler gerisini anlattı.

Gündelik hayattaki karşılığı bir bisiklet hırsızlığı. Manchester yakınlarındaki Failsworth'ta yaşayan bisikletçi Mark Leigh, 2015'te Manchester Evening News'e, Strava'da kaydettiği bir sürüşün ertesi sabahı garajına girildiğini ve değerleri 500 ile 1.000 sterlin olan iki bisikletinin çalındığını anlattı. Başka hiçbir şey kaybolmamıştı ve Leigh hırsızların kendisini uygulama üzerinden bulduğuna inanıyordu. The Register'ın aktardığına göre evini gizleme ayarından haberi yoktu.

Araştırmacılar bu tür bir ayarı birden fazla kez test etti. 2022'de Belçika'daki KU Leuven'den bir ekip Strava'nın gizlilik bölgelerini inceledi: korunan bir adresin çevresindeki, içinde kalan rotanın başkalarından gizlendiği daireler. Saldırıları, herkesin görebildiği üç şeye dayanıyordu: sokak haritası, bir rotanın gizli daireye girdiği noktalar ve gizlenen kısmı da hesaba katan mesafe değerleri. Birkaç etkinlik boyunca, sokak ağında bu mesafelerin tümüne en iyi uyan noktayı aradılar.

“Analiz ettiğimiz 1,4 milyon Strava etkinliği arasında, yalnızca herkese açık ek verilere dayanarak gizli konumların yüzde 85'ine varan kısmını yine de ortaya çıkarabildik,” dedi araştırmacı Victor Le Pochat. Bu rakam, Strava kullanıcılarının çoğunun seçtiği 200 metrelik bölgeler içindi. Daha büyük bölgeler işe yaradı ama sorunu bitirmedi: başarı oranı 1 km'de %55, o zamanki en büyük Strava boyutu olan 1,6 km'de %39'du.

Strava özelliği o günden bu yana değiştirdi. Map Visibility artık bir adresin çevresindeki alanı, nerede olursa olsun her etkinliğin başını ve sonunu ya da haritanın tamamını gizleyebiliyor; yeni yetişkin hesaplarında da her uçtan 200 metre varsayılan olarak gizli. KU Leuven makalesi, Strava'nın kısa süre önce getirdiği, her uçta belirli bir mesafeyi gizleme yöntemini ele aldı ve bunun saldırının yalnızca bir adımını daha az güvenilir kıldığını yazdı: kesim noktaları ve mesafeler tahmin için hâlâ erişilebilir durumdaydı.

Strava'nın kendi yardım sayfası sınır konusunda açık sözlü. Bir haritanın bir kısmını gizlemenin, sayfaya göre, “birinin ek bilgilerle gizli bir konumu tahmin etmesinin imkânsız olacağı anlamına gelmediğini” belirtiyor; hiç harita gösterilmesini istemeyenleri de haritayı tamamen gizleyen seçeneğe yönlendiriyor. Strava ayrıca 2023'te Cycling Weekly'ye, bu araştırmayla ilgili olarak “Strava'yı ya da topluluğumuzun verilerini ilgilendiren herhangi bir sızıntı veya siber saldırı yaşanmadığını” söyledi. Araştırmacılar da aksini hiç söylemedi: yöntemleri yalnızca uygulamanın herkese açık gösterdiklerini kullandı; bu, araştırmacıların arkadaşlık uygulamalarında da bulduğu türden bir sızıntıdır.

“Çok sayıda rota ve kullanıcının bulunduğu yoğun nüfuslu bir bölgede o kadar çok veri var ki belirli bir kişiyi izlemek son derece zor olurdu,” dedi çalışmanın kıdemli yazarı Anupam Das. “Ancak kullanıcı ve/veya rota sayısının az olduğu yerlerde iş basit bir eleme sürecine dönüşüyor,” özellikle de çok aktif bir kullanıcı için. Ekibi ısı haritasında 143.799 ilgi noktası işaretledi ve tahminlerini sınamak için 11.165 Strava kullanıcısını seçmen kayıtlarıyla eşleştirdi.

Arama tarafı da aynı derecede basitti. Araştırmacılar kullanıcıları profillerinde yazan kasabaya göre aradı ve o sırada yalnızca takipçilere açık olarak ayarlanmış hesaplar bile bu aramada çıkıyordu. Şehir alanını boş bırakan kullanıcılar bu yolla bulunamadı.

Strava'nın bugünkü kuralları bu açığın bir kısmını kapatıyor. Yardım merkezine göre küresel ısı haritası (Global Heatmap) son bir yılın etkinliğini gösteriyor, aylık güncelleniyor ve herkese açık olarak ayarlanmamış etkinlikleri, harita görünürlüğü ayarlarıyla gizlenen bölümleri ve dışarıda kalmayı seçenlerin etkinliklerini dışarıda bırakıyor. Bir bölgede birden fazla kullanıcı etkin olmadıkça orada hiç ısı görünmüyor.

1. Step 1Etkinlikleri yalnızca takipçilere açınUygulamada You sekmesini açın, ayarlar simgesine dokunun, ardından Privacy Controls'a girin ve Activities ayarını Followers yapın; yalnızca kendinize sakladığınız koşular için Only You seçin. Profile ayarını da Followers yapın; böylece insanlar sizi takip etmek için istekte bulunmak ve onayınızı beklemek zorunda kalır. Strava bunun profilinizin arama motorları tarafından dizine eklenmesini de engellediğini söylüyor. Yabancılar o zaman hiçbir rota görmez.
2. Step 2Ev adresinizi gizleyinPrivacy Controls > Map Visibility altında adresinizi girin. Strava, geçmiş ya da gelecekteki etkinliklerden yakınlarda başlayan veya biten bölümü gizler; ne kadarını gizleyeceğinizi bir mile (yaklaşık 1,6 km) kadar kendiniz seçersiniz. İş yerinizi, okulunuzu ya da partnerinizin evini de ekleyin ve geniş bir mesafe seçin: “Ne kadar büyükse o kadar iyi,” dedi KU Leuven araştırmacısı Karel Dhondt.
3. Step 3Her şeyin başını ve sonunu gizleyinMap Visibility'nin ikinci seçeneği, gelecekteki tüm etkinliklerin nerede başlarsa başlasın başını ve sonunu gizler; bu bir oteli, bir arkadaşınızın dairesini ya da eklemeyi unuttuğunuz yeni bir adresi de kapsar. Varsayılan 200 metredir; daha uzun bir mesafe daha fazlasını gizler. Hiç harita gösterilmesin istiyorsanız üçüncü seçenek haritanın tamamını gizler.
4. Step 4Başka bir yerde başlayıp bitirinKU Leuven araştırmacıları başlangıç ve bitiş noktalarınızı değiştirmenizi de önerdi. Başlat'a basmadan önce birkaç dakika yürüyün ve sokağınıza dönmeden kaydı durdurun. Gizli bir bölge, rotanın hiç ulaşmadığı bir kapıyı ele veremez.
5. Step 5Isı haritasından çıkınPrivacy Controls içinde, verilerinizi Strava'nın toplu özelliklerine katan ayarı kapatın: Strava'nın güncel yardım sayfalarında bu ayar Product Improvements, eski sayfalarda ise toplu veri kullanımı olarak geçiyor. Strava, dışarıda kalmayı seçenlerin verilerinin Global Heatmap'ten ve Strava Metro'dan çıkarıldığını söylüyor.
6. Step 6Profilinizde ne yazdığına bakınNC State ekibi, belirli bir kasabayı yazmış herkesi arayarak kullanıcıları buldu. Şehri profilinizden çıkarın ya da geniş tutun.
7. Step 7Flyby'ı kapalı bırakınFlyby varsayılan olarak kapalıdır ve yalnızca herkesin görebildiği etkinlikleri içerir. Açtıysanız, yeniden kapatmayı düşünün.

Yeni takipçilerin de önce onay istemesi gerekir ve ebeveynler tam burada devreye giriyor. Evden başlayan bir kulüp antrenmanı ya da okul koşusu, onaylanmış her takipçiye aynı düzeni gösterir; bu yüzden takipçilerin kimler olduğuna bakın ve ev adresini Map Visibility altına ekleyin. Bir gencin etkinlikleri, bir çocuğun fotoğraflarının yabancılara neler anlattığıyla aynı konuşmanın parçasıdır.

Bölgeler de birbirinden farklıydı. Strava 200 metreden 1,6 km'ye kadar daireler, Garmin Connect ise 100 metreden 1 km'ye kadar daireler sunuyordu; Komoot daire yerine rastgele biçimli bir alan kullanıyordu ve araştırmacılar bunun bölgeyi çözmeyi zorlaştırdığını belirtti. Hangi uygulama olursa olsun, değiştirilecek ilk ayar etkinlikleri herkese açık yapan ayardır.

Gizlenmiş bir harita yalnızca çizgiyi gizler. EXIF verisini silmek koordinatları dosyadan çıkarır; tek bir selfie nerede yaşadığınızı ele verebilir yazısı ise kameranın yakaladığı ipuçlarını sıralar: kapı numaraları, sokak tabelaları, pencereden görünen manzara. Aynı köşeden hafta hafta çekilen fotoğraflar, fotoğraf üst verisinin gizlilik riskleri yazısında anlatılan türden bir düzen oluşturur.

Strava fotoğrafları da haritaya yerleştirir. Yeni yetişkin hesapları Public Photos on Routes ayarı açık olarak başlar; bu yüzden herkese açık etkinliklerdeki fotoğraflar, hesabınıza bağlanmadan Strava'nın topluluk rotalarında görünebilir. Gizlediğiniz bir adresin içinde çekilen fotoğraflar dışarıda bırakılır ve ayar Privacy Controls altından kapatılabilir.

geospys.com'daki fotoğraf analizi GeoSpy Premium'a dahildir: haftalık 7,99 ABD doları ya da yıllık 29,99 ABD doları (Yıllık planı alın); adil kullanım kapsamında sınırsızdır ve istediğiniz zaman iptal edilebilir. Bir şehir ve ülke tahmini verir, adres vermez. GeoSpy iPhone uygulamasında ücretsiz deneme bulunur.