Comment Strava pourrait coûter la vie à un président ?

Strava, l’application bien-aimée des coureurs, des cyclistes et des athlètes d’endurance, a vu sa popularité monter en flèche ces dernières années (le boom actuel de la course à pied y est pour quelque chose). L’application est réputée pour les félicitations, la communauté et le « Strava or it didn’t happen » (Strava ou ce n’est pas arrivé). Et malgré le plaisir de figurer sur le tableau de classement d’un segment, voire de remporter une couronne, Strava n’est pas sans inconvénients.

Le principal signal d’alarme de l’application est la sécurité… ou l’absence de sécurité. Plus récemment, Strava a été critiquée pour un certain nombre de lacunes dans ses fonctions de sécurité. À première vue, il est difficile de comprendre ce qui peut bien se passer avec une application aussi inoffensive, qui permet aux coureurs de partager leurs activités quotidiennes. Nous présentons ici les principaux problèmes de sécurité soulevés par Strava :

1. Localisation et mises à jour en temps réel : Strava enregistre les positions GPS exactes, ce qui peut révéler les itinéraires habituels des utilisateurs, les points de départ et d’arrêt (souvent leur domicile), et même permettre aux gens de savoir quand ils sont en train de s’entraîner, ce qui peut rendre leur domicile vulnérable.
2. Paramètres de confidentialité et données publiques : Bien que Strava propose des paramètres de confidentialité, ceux-ci ne sont pas toujours clairs. Si les utilisateurs ne règlent pas ces paramètres avec soin, leurs itinéraires, leurs emplacements et leurs temps peuvent être vus par le public ou par toute personne faisant partie de leur réseau. Certains segments peuvent toujours être visibles dans les classements publics, quels que soient les paramètres.
3. Compétition sur les segments : La plateforme encourage les utilisateurs à rivaliser sur les segments publics, ce qui peut pousser certains à privilégier la vitesse ou la performance au détriment d’un comportement sûr, en particulier sur les segments situés dans des zones à forte circulation, dans des descentes abruptes ou dans d’autres endroits à risque.
4. Cartes thermiques et données agrégées : Les cartes thermiques de Strava regroupent les données d’activité publique et affichent les itinéraires les plus populaires à l’échelle mondiale. Bien que ces données soient anonymes, elles ont révélé la présence de personnes dans des lieux sensibles ou sécurisés, voire dans des bases militaires. Il en résulte un risque pour la sécurité et la vie privée des utilisateurs dans des environnements hautement sécurisés.
5. Photos et autres médias géolocalisés : Si les utilisateurs partagent des photos ou des vidéos avec des balises géographiques, cela peut révéler leur position exacte à des moments précis. En fonction des paramètres de confidentialité, ces informations peuvent être visibles par les amis, les suiveurs ou le public.
6. Identification involontaire d’un groupe : Strava peut identifier si quelqu’un a couru ou fait du vélo avec d’autres utilisateurs et peut afficher ces informations publiquement, créant ainsi une visibilité de groupe involontaire qui peut compromettre la vie privée des individus, en particulier si les individus s’entraînaient ensemble sans avoir l’intention de révéler cette association.
7. Vulnérabilités en matière de sécurité : Si les utilisateurs connectent Strava à d’autres applications tierces, ils risquent d’autoriser par inadvertance un suivi et un partage de données supplémentaires susceptibles de compromettre davantage leur vie privée.

It just keeps getting deeper. You can also trivially scrape segments, to get a list of people who travelled a route, and trivially obtain a list of users. #Strava pic.twitter.com/U9DnPsyHUD

— Paul D (@[email protected] (@Paulmd199) January 28, 2018

Aujourd’hui, ces risques de sécurité ne se limitent pas aux personnes ordinaires comme vous et moi. Les problèmes de sécurité découverts dans l’application Strava ont eu des effets considérables, allant même jusqu’à toucher l’armée et des personnalités de premier plan.

Depuis des années, les militaires, les équipes de sécurité des dirigeants les plus en vue et les agents de renseignement révèlent involontairement des données sensibles en utilisant l’application Strava. Malgré la discrétion requise dans ces rôles, les fonctions de partage d’activités publiques de la plateforme ont exposé à plusieurs reprises des détails personnels et liés aux missions, compromettant la sécurité de ces personnes et de ceux qu’elles protègent. Une enquête récente du Monde a attiré l’attention sur les problèmes récurrents de Strava en matière de protection de la vie privée, soulignant que le personnel de sécurité de dirigeants tels qu’Emmanuel Macron et Vladimir Poutine, ainsi que certains présidents américains, peut être retracé sur l’application.

Le problème a d’abord attiré l’attention du public en 2018 lorsque Strava a publié une « carte d’activité » qui visualisait les itinéraires d’entraînement des utilisateurs à l’échelle mondiale. Les chemins éclairés de la carte indiquaient des itinéraires d’exercice populaires dans les zones urbaines, mais révélaient des schémas plus inquiétants dans des régions éloignées comme le désert syrien. Cette anomalie était due au fait que le personnel militaire rendait involontairement ses mouvements visibles à toute personne regardant la carte, révélant ainsi la présence et la disposition d’installations militaires mondiales.

Face à la réaction des instances militaires, dont le Pentagone et le ministère français des forces armées, Strava a rejeté la responsabilité sur les utilisateurs, soulignant que seules les activités partagées publiquement apparaissaient sur la carte. L’application a promis d’améliorer les paramètres de confidentialité afin d’aider les utilisateurs à contrôler ce qu’ils partagent. Des enquêtes ultérieures menées par Le Canard enchaîné et Le Télégramme ont révélé des faits encore plus alarmants. Sans avoir besoin de la carte d’activité anonyme, il est devenu possible d’identifier des agents de renseignement et des soldats par leur nom sur Strava, y compris ceux de la DGSE (renseignement extérieur français) et de la DGSI (renseignement intérieur).

L’analyse des profils d’utilisateurs accessibles au public a permis de suivre le personnel stationné sur des sites sensibles tels que la base de sous-marins nucléaires de l’Île Longue, en révélant non seulement leurs habitudes, mais aussi des détails personnels tels que l’adresse du domicile, les habitudes régulières et même, dans certains cas, des informations sur les membres de la famille qui les accompagnent lors des séances d’entraînement.