Pessoas de todo o mundo usam o aplicativo Strava em seus smartphones e Fitbits para acompanhar o quanto elas correm. Mas pesquisadores descobriram que uma liberação de dados “anônimos” pela Strava no ano passado acabou, acidentalmente, revelando locais sensíveis, incluindo bases militares dos Estados Unidos no mundo todo.
Os dados de usuários foram lançados em novembro como o “mapa de calor de 2017“, mostrando mais de um bilhão de atividades, incluindo 13 trilhões de pontos de dados de GPS. Abrangendo também informações de onde e o quão rápido várias pessoas correram, por exemplo. E se você observar bem, algo como um aeródromo na Somália, que pode abrigar forças especiais americanas, de repente se acende como uma árvore de Natal.
Outside Mogadishu, these are areas of interest I have been able to locate on @Strava Global Heat Map in Somalia. All known hub for US/Somali Special Forces. Balidogle Airstrip is the home of Danab- US-trained Somali Special Forces modeled after the venerable US Army Rangers pic.twitter.com/FPHR8ctCWT
— Adam (@adancabdulle) 28 de janeiro de 2018
(“Nos arredores de Mogadishu, essas são as áreas de interesse que consegui localizar no Mapa de Calor Global da @Strava na Somália. Todos os centros conhecidos das forças especiais americanas/somalis. O Aeródromo Balidogle é a sede das forças especiais somalis Dabab, treinadas pelos EUA, modelado a partir dos veneráveis US Army Rangers”)
Essas áreas rosadas são aonde as pessoas foram para uma corrida ou para pedalar, contanto que elas tivessem seus serviços de localização ativados. E está claro, a partir dos caminhos rosas, que essas pessoas estavam, talvez, dando voltas em torno de um aeródromo na Somália, um país para o qual os Estados Unidos estão mandando cada vez mais tropas atualmente.
Mas isso não se resume só à Somália. Os detetivões da internet descobriram locais militares dos EUA potencialmente sensíveis em Afeganistão e Síria, junto com locais russos na Ucrânia e um sítio secreto de mísseis em Taiwan.
Como apontaram especialistas de segurança no Twitter, isso não está muito longe do tipo de conjuntos de dados pelos quais agências de inteligência matam umas às outras. Especialmente quando se sabe que é fácil deduzir quem está usando o Strava em lugares em que as tecnologias americanas são relativamente raras. Smartphones e Fitbits podem ser escassos em uma área remota em particular no Afeganistão, o que nos leva a concluir que aquilo deve indicar a presença de tropas americanas. Não só nós, mas qualquer um que veja os dados.
Nathan Ruser, do Instituto para Analistas de Conflitos Unidos, da Austrália, foi uma das primeiras pessoas a apontar a vulnerabilidade da liberação dos dados da Strava no Twitter. Mas ele quase certamente não foi a primeira pessoa a usar esses dados.
“Achei que a melhor maneira de lidar com isso seria tornar as vulnerabilidades conhecidas para que elas pudessem ser consertadas”, Ruser contou à BBC. “Alguém teria notado em algum momento. Só calhou de eu ser a pessoa que fez essa conexão.”
Strava released their global heatmap. 13 trillion GPS points from their users (turning off data sharing is an option). https://t.co/hA6jcxfBQI … It looks very pretty, but not amazing for Op-Sec. US Bases are clearly identifiable and mappable pic.twitter.com/rBgGnOzasq
— Nathan Ruser (@Nrg8000) 27 de janeiro de 2018
(“A Strava liberou seu mapa de calor global. 13 trilhões de pontos de GPS de seus usuários (desligar o compartilhamento de dados é uma opção). Parece bem legal, mas não é muito bom para a segurança operacional. Bases (militares) dos EUA estão claramente identificáveis e mapeáveis”)
Para piorar as coisas, algumas pessoas no Twitter descobriram maneiras de tirar a anonimidade do mapa de calor, identificando usuários únicos e onde eles estiveram se exercitando. É basicamente o sonho de um stalker.
It just keeps getting deeper. You can also trivially scrape segments, to get a list of people who travelled a route, and trivially obtain a list of users. #Strava pic.twitter.com/U9DnPsyHUD
— Paul D (@Paulmd199) 28 de janeiro de 2018
(“Fica cada vez mais profundo. Você também pode trivialmente descartar segmentos, chegando a uma lista de pessoas que viajaram uma determinada rota, trivialmente obtendo uma lista de usuários.”)
E como é que a Strava respondeu a tudo isso? Dizendo às pessoas para ler as configurações de privacidade com mais atenção. Sabe, aquela coisa que ninguém lê? É, isso mesmo.
“Nosso mapa de calor global representa uma visão agregada e anônima de mais de um bilhão de atividades carregadas em nossa plataforma”, disse a Strava em um comunicado.
“Ele exclui atividades que foram marcadas como privadas e zonas de privacidade definidas por usuários”, continuou a Strava. “Estamos comprometidos em ajudar as pessoas a entenderem melhor nossas configurações para lhes dar controle sobre o que compartilham.”
A versão menor disso? “Que pena.”
Isso é um ótimo lembrete de que, virtualmente, toda empresa de tecnologia tem uma quantidade enorme de dados que podem ser usados de várias maneiras. Se você não acha que o Google e o Facebook têm sua vida inteira mapeada passo a passo, você está se enganando. E estaria errado se achasse que agências de inteligência ao redor do mundo não achariam dados do Google e do Facebook úteis.
E como é que você se protege disso? Você pode desligar os serviços de localização de tudo, mas isso tira muitas das funções mais úteis em seu smartphone ou smartwatch. Meu conselho? Esconda-se numa caverna e nunca mais saia. É a única solução a essa altura.
[BBC e The Guardian]
Imagem do topo: Captura de tela