Os riscos de segurança associados ao aplicativo Strava foram relatados pela primeira vez em 2018, quando o The New York Times informou que analistas estavam alertando que um recurso de “mapa de calor” no Strava que mostra as pistas de corrida de todos os usuários do Strava que tornaram suas postagens públicas poderia ser usado para identificar usuários individuais fazendo referência cruzada de dados do Strava com outros usos de mídia social.
O recurso de mapa de calor revelou notavelmente a localização de bases militares em todo o mundo, com assinaturas em bases americanas em países como Afeganistão, Iraque e Síria se destacando em comparação com seus arredores.
Preocupações com segurança
As falhas de segurança possíveis por meio do aplicativo foram exacerbadas com o recurso Segmento. Já em 2018, usuários e analistas de redes sociais apontavam que o recurso Segmentar poderia ser usado para criar uma lista de pessoas que percorreram determinado trajeto, inclusive em locais sensíveis.
Atores mal-intencionados podem usar o mapa de calor para encontrar rotas comumente percorridas e, em seguida, criar segmentos ao longo dessas rotas para expor um grande número de usuários.
É possível ocultar a atividade de exercício para que ela não apareça no recurso Segmentos, mas para isso, os usuários precisam definir cada atividade como “privada”, mesmo que seu perfil em geral já esteja definido como “privado”.
O FakeReporter, que usa crowdsourcing para identificar, expor e desativar ataques e atividades fraudulentas, começou a investigar o problema depois de receber uma dica sobre atividades suspeitas no aplicativo Strava. A dica revelou um perfil anônimo que havia carregado dados artificiais de GPS dentro de bases IDF e instalações de segurança confidenciais.
O perfil anônimo, com o nome de usuário “Ez Shl”, criou Segmentos artificiais com os dados do GPS, utilizando o Heatmap para identificar as rotas com maior chance de encontrar um grande número de usuários. De acordo com o relatório do FakeReporter, a natureza única da atividade do perfil indica que o usuário pretendia produzir Segmentos em áreas sensíveis à segurança em Israel para coletar informações sobre pessoas servindo nesses locais classificados.
Os segmentos artificiais foram localizados perto de locais como o quartel-general do Mossad, a base Kanaf 2 da Força Aérea Israelense, uma base próxima ao reator nuclear em Dimona, a base Bahad 1 e a base Palmachim, entre outros locais.
