Los datos de Strava no son tan anónimos como parecía: nombres de usuario (y más) al descubierto

Strava2

La polémica que se ha desatado alrededor del desastre de privacidad de Strava sigue dando más quebraderos de cabeza. Ayer contábamos como esta "red social para atletas" permitía monitorizar bases militares secretas y las rutinas de los militares en esas bases, pero aún hay más.

Un investigador de seguridad informático que es además usuario de la plataforma ha revelado cómo es posible deshacer el anonimato de los datos que comparten los usuarios. Eso significa que si usas Strava, alguien puede saber que tú eres esa persona que corre (o nada, o esquía, o monta en bici) por esa base militar, qué bici tienes, con quién practicas deporte o incluso tu frecuencia cardiaca. Todo queda al descubierto.

Si quieres proteger tus datos, no des tanta información

Steve Loughran explicaba en su blog cómo al convertirnos en usuarios de Strava debemos tener mucho cuidado con los datos de nuestro perfil, ya que esos datos que parecen inocuos pueden revelar mucha más información de la que quizás querríamos revelar.

39248135784 66ceffbca8 B

Este usuario explicaba cómo por ejemplo sus recomendaciones son las de no usar el nombre real en la aplicación, usando una única letra como apellido, un emoji o un signo de admiración, y hacer que las personas con las que practicas ejercicio y lo monitorizan con Strava hagan lo mismo.

También sugiere crear un área privada alrededor de su casa y la de sus amigos, e incluso "no esforzarse demasiado" para no aparecer en los rankings de los corredores y atletas más rápidos, ya que esa información es pública y permite hacer seguimiento y monitorizar tu actividad de forma fácil.

Para Loughran los recorridos de los usuarios convencionales pueden no ser interesantes para casi nadie —cuidado con aquello del "yo no tengo nada que esconder"— pero la cosa se complica para mucha otra gente que trabaja en empresas o entidades en los que se maneja información sensible.

Así desaparece el anonimato de Strava

Es ahí donde entra en juego una peligrosa práctica que permite "desanonimizar" a los usuarios, revelando quiénes son aquellos que hacen ciertos recorridos en ciertas zonas. Eso que teóricamente no parece posible de forma directa en los mapas de calor de Strava se puede hacer fácilmente, y es precisamente lo que logró Loughran.

26085816258 278d44969c H

Como explicaba en su blog, basta con seleccionar una zona del mapa de calor delicada, por ejemplo una base militar. A partir de ahí podremos crear una ruta en su web MapMyRide y "dibujarla" para luego descargar el archivo GPX en el que se encuentran las latitudes y longitudes de la ruta.

25087944047 1fd0f5a63a K

Ese fichero es el que deberemos editar para incluir tiempos razonables de paso por cada punto intermedio de la ruta (no demasiado rápidos para que el sistema no detecte que vamos en coche, por ejemplo), y con ese fichero editado podremos ir a crear una nueva actividad. Al hacerlo podremos "Crear un segmento", convirtiendo toda esa ruta o parte de ella en el citado segmento.

Es posible obtener una lista de nombres de los atletas con los mejores tiempos, que en esta captura están tapados para proteger (un poco) su identidad.

Es en ese momento en el que el servicio creará una tabla con los 10 mejores corredores por género y rango de edad, y nos indicará cuándo y con quién han corrido esos usuarios. Incluso nos puede indicar en qué otras bases militares han corrido esos usuarios, estableciendo así ese historial que permite obtener muchos datos de usuarios que teóricamente deberían estar protegidos por el servicio con el anonimato adecuado.

39958987881 3dc22e32b3 K

Como explica en sus conclusiones, Strava tiene que hacer algo al respecto y sugiere que sea posible "marcar áreas privadas para todos los usuarios", lo que permitiría que los gobiernos se pusieran en contacto con la firma para establecer zonas seguras y privadas que no deberían quedar publicadas en esos mapas de calor aunque a los usuarios se les olvide marcar sus recorridos como privados.

De momento, eso sí, el problema de privacidad no solo no se ha reducido, sino que con descubrimientos como este es aún más preocupante.

Vía | Wired
En Xataka | Por qué la privacidad es necesaria: desmontando el "no tengo nada que ocultar"