Agenții neidentificați au folosit aplicația de urmărire a fitnessului, Strava, pentru a spiona membrii armatei israeliene, urmărindu-le mișcările în baze secrete din întreaga țară și observându-i în timp ce călătoresc prin lume în tururi oficiale.
Prin plasarea unor „trasee” false de alergare în interiorul bazelor militare, operațiunea – a cărei afiliere nu a fost descoperită – a putut să țină evidența persoanelor care făceau exerciții prin baze.
Într-un exemplu văzut de The Guardian, un utilizator care rulează într-o bază secretă despre care se crede că are legături cu programul nuclear israelian ar putea fi urmărit în alte baze militare din țări străine.
Campania de supraveghere a fost descoperită de grupul israelian de informații cu sursă deschisă FakeReporter. Directorul executiv al grupului, Achiya Schatz, a declarat: „Am contactat forțele de securitate israeliene de îndată ce am aflat de această încălcare a siguranței. După ce a primit aprobarea forțelor de securitate pentru a continua, FakeReporter a contactat Strava și au format o echipă pentru a rezolva problema.”
Instrumentele de urmărire Strava sunt concepute pentru a permite oricui să definească și să concureze pe „trasee” – secțiuni scurte de alergare sau de plimbare cu bicicleta care pot fi parcurse în mod regulat – cum ar fi o urcare lungă pe un traseu popular de ciclism sau un singur circuit al unui parc. Utilizatorii pot alcătui un traseu după ce l-au încărcat din aplicația Strava, dar pot încărca și date GPS de pe alte aplicații.
Strava nu are nicio modalitate de a urmări dacă încărcările GPS sunt legitime așa că permite oricui să definească un traseu încărcându-l – chiar dacă este posibil să nu fi fost în locul pe care îl urmărește. De fapt, unele segmente încărcate sunt în mod clar generate artificial, cu pași medii de sute de kilometri pe oră, linii nefiresc de drepte și salturi verticale imposibile, din stâncă în stâncă.
Un utilizator anonim, cu locația în „Boston, Massachusetts”, a înființat o serie de trasee false într-un număr de unități militare din Israel, inclusiv avanposturi ale agențiilor de informații ale țării și baze extrem de sigure despre care se crede că sunt asociate cu programele nucleare ale armatei.
„Prin exploatarea capacității de a încărca fișiere proiectate, dezvăluind detaliile utilizatorilor de oriunde în lume, elementele ostile s-au apropiat alarmant, prin exploatarea unei aplicații populare, pentru a dăuna securității cetățenilor și țărilor deopotrivă”, a spus Schatz.
Inventatorul traseului fals ocolește și unele dintre setările de confidențialitate ale Strava. Utilizatorii își pot seta profilurile astfel încât să fie vizibile numai pentru „urmăritori”, ceea ce împiedică necunoscuții și spionii în ale observa activitatea. Totodată, dacă nu stabilesc și fiecare cursă individuală ca fiind securizată, atunci fotografia lor de profil, prenumele și inițiala numelui vor apărea pe traseele pe care au alergat, în spiritul competiției amicale. Cu suficiente trasee împrăștiate pe hartă, persoanele pot fi încă identificate: un utilizator, de exemplu, și-a urmărit participarea la o cursă publică, pe care a câștigat-o, dar a fost surprins alergând și în unități militare securizate.
Într-o declarație, compania de fitness a spus: „Luăm foarte în serios chestiunile de confidențialitate și am fost informați de un grup israelian, FakeReporter, despre o problemă a unui traseu privind un anumit cont de utilizator și am luat măsurile necesare pentru a remedia această situație.”
Aplicația arată rute publice, cum ar fi ruta concursului Ironman din Hawaii, dar și rute „mai puțin publice”: locația și configurația mai multor baze militare din provincia Helmand, Afganistan, erau clar vizibile, la fel ca și un loc popular de înot în aer liber lângă RAF Mount Pleasant din Insulele Falkland. Harta a înregistrat chiar traseul unui biciclist singuratic în Area 51, Nevada.
Răspunsul Strava la scandalul pornit a fost să sfătuiască utilizatorii militari să renunțe la opțiunea de a fi vizibili pe aplicație, argumentând că informațiile au fost făcute publice de către utilizatorii care au încărcat traseele parcurse. Ca un ecou al celei mai recente vulnerabilități de confidențialitate, unii utilizatori au fost urmăriți alarmant de detaliat: un membru al forțelor aeriene americane a putut fi urmărit dintr-un tur în Djibouti, unde a alergat bucla de 7 km a pistei, până la o bază aeriană din Germania, unde a fost transferat în 2016.
