Investigadores de la Universidad Estatal de Carolina del Norte descubrieron un riesgo de privacidad en la función de mapa de calor de la aplicación Strava que podría conducir a la identificación de las direcciones de los usuarios.
Strava es una popular aplicación para correr y rastrear el estado físico con más de 100 millones de usuarios en todo el mundo, que ayuda a las personas a rastrear su frecuencia cardíaca, los detalles de la actividad, la ubicación del GPS y más.
En 2018, Strava implementó una función llamada "mapa de calor" que agrega de forma anónima la actividad de los usuarios (corredores, ciclistas, excursionistas) para ayudarlos a encontrar senderos o puntos de acceso para hacer ejercicio, conocer personas de ideas afines y realizar sus sesiones en lugares más concurridos y más seguros.
Sin embargo, como descubrieron los investigadores , esta función abre la posibilidad de rastrear y eliminar el anonimato de los usuarios utilizando datos de mapas de calor disponibles públicamente combinados con metadatos de usuarios específicos.
Localización de domicilios de deportistas
El primer paso que dieron los investigadores fue recopilar datos disponibles públicamente a través del mapa de calor de Strava durante un mes para los estados de Arkansas, Ohio y Carolina del Norte.
A continuación, utilizaron análisis de imágenes para detectar áreas de inicio/finalización junto a las calles, lo que indica que una casa específica está vinculada a una fuente de actividad rastreada.
Calor de actividad cerca de una casa (anupamdas.org)
Después de seleccionar capturas de pantalla de mapas de calor que coincidían con los criterios, el equipo superpuso imágenes de OpenStreetMaps en niveles de zoom que ayudaron a identificar direcciones de residencia individuales.
Superposición de ubicaciones de casas (anupamdas.org)
El siguiente paso fue realizar un rastreo de usuarios aprovechando una función de búsqueda mal documentada en Strava para ubicar a los usuarios que registraron una ciudad específica como su ubicación.
Al comparar los puntos finales del mapa de calor y los datos personales de un usuario de la función de búsqueda, los investigadores pudieron correlacionar los puntos de alta actividad en el mapa de calor y las direcciones de los usuarios.
Los perfiles públicos de Strava contienen datos de actividad con marcas de tiempo y distancias, lo que facilita la identificación de rutas potenciales que coincidan con los patrones en los datos del mapa de calor, reduciendo las coincidencias de personas y áreas.
Lógica de ataque y resumen de datos (anupamdas.org)
Como muchos usuarios de Strava se registran con sus nombres reales e incluso suben fotos de perfil de ellos mismos, es posible correlacionar las identidades con las ubicaciones de sus casas.
Para su investigación, los científicos correlacionaron sus hallazgos con los datos del registro y encontraron que sus predicciones tenían una precisión de aproximadamente el 37.5 %.
"Un usuario más activo produce más calor en el mapa de calor de Strava y, por lo tanto, se identifica más fácilmente. La Figura 7 demuestra la probabilidad de una coincidencia en función de la cantidad de actividades publicadas", explican los investigadores.
"Para el resto del análisis, supondremos que el objetivo del ataque publica un número promedio de actividades, que para nuestro conjunto de datos es de 308 actividades".
"Con el umbral de 100 metros y la víctima publicando 308 actividades, la probabilidad de ser descubierta es del 37.5 %".
Cuantas más actividades registre un usuario, mayores serán las posibilidades del ataque (anupamdas.org)Mejorar la privacidad de Strava
La primera mitigación pasiva es vivir en un área densamente poblada que recibe cantidades masivas de datos de mapas de calor de Strava, lo que hace que el seguimiento específico de la persona sea casi imposible.
Otra forma de mitigar este problema de privacidad sería iniciar el seguimiento después de que haya salido de su casa o que Strava cree una exclusión para el mapa de calor de unos pocos metros alrededor de las ubicaciones de la casa como se marca en OpenStreetMaps.
Los investigadores también proponen que el mapa de calor debería admitir una opción para que los usuarios establezcan zonas de privacidad alrededor de sus hogares o en otros lugares también.
La función de mapa de calor está activa de forma predeterminada en todas las aplicaciones de Strava, pero los usuarios pueden optar por no participar a través de la configuración.
Con respecto a la configuración del perfil, aquellos preocupados por la privacidad deben mantener privados sus perfiles de usuario en la aplicación Strava, lo que no expondría los nombres y los datos de actividad.
