😱 Il caso STRAVA: TUTTE le basi militari ESPOSTE

Il 1° novembre 2017 Strava, la nota app per il fitness usata da milioni di runner in tutto il mondo, decide di fare una cosa carina e di pubblicare una mappa del mondo che mostra i percorsi di corsa più usati dagli atleti. Pochi mesi dopo uno studente di 20 anni dell'Università di Cranberry pubblica un tweet in cui rivela l'esistenza di basi militari segrete in Siria con l'esatta ubicazione e persino una planimetria sommaria. Non aveva avuto bisogno di hackerare nessun sistema militare, aveva semplicemente notato l'esistenza di percorsi di corsa molto precisi in luoghi in cui secondo Google Earth non c'era nient'altro che deserto. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video. La scorsa settimana abbiamo parlato dei danni che possono essere causati a un'azienda quando un dipendente usa tecnologie all'insaputa dei suoi superiori e del reparto IT. E per spiegare quanto possono essere gravi questi danni, non c'è caso migliore di quello di Strava. Tra l'altro, oggi vedremo non un solo caso, bensì due, perché poco tempo dopo il caso Strava una cosa molto, molto simile è capitata all'applicazione Polar Flow. Ma andiamo con ordine. A novembre 2017, l'applicazione Strava decide di pubblicare una mappa del mondo con evidenziati i percorsi di corsa più utilizzati dai suoi utenti. Più un percorso è stato usato, più è illuminato. In totale, nel 2017 risultano caricate su Strava più di un miliardo di attività, divise fra circa 10 milioni di atleti. E per ogni percorso era possibile anche vedere proprio le singole strade in cui correva la gente, era veramente molto precisa. La mappa inizia a girare, i runner iniziano a esplorare i percorsi fatti dagli altri, e per qualche mese non succede nulla di particolare. La situazione cambia a fine gennaio, quando Nathan uno studente di 20 anni della facoltà di sicurezza internazionale dell'Università di Cranberra, decide di analizzare per bene la mappa. Il focus del suo studio in quel momento riguarda la Siria, un posto in cui il ragazzo non pensa ci possano essere percorsi salvati dato che è una zona di guerra. Immaginate la sua sorpresa quando apre la mappa di Strava, zooma sulla Siria e la trova, come dice lui stesso nel tweet, illuminata come un albero di Natale. Ci tengo a precisare che in una città qualunque di una zona non in guerra, la mappa non avrebbe rivelato niente di strano, avrebbe mostrato solo i percorsi più usati e basta. Ma sono percorsi che potrebbe fare sia il militare di stanza lì che il runner amatoriale, che il pensionato che si vuole tenere in forma. Ma in mezzo al deserto siriano o afgano, l'unico tipo di persona che possiede un orologio, un dispositivo GPS collegato a Strava e lo usa per tenersi in forma è il personale militare occidentale. Quindi in quei contesti per ogni puntino luminoso c'è un'altissima probabilità che si tratti di un soldato, e per ogni grappolo di puntini c'è un'altissima probabilità che si tratti di una base. Andando a guardare meglio nella mappa era possibile vedere i perimetri esatti delle basi occidentali in Siria e il reticolo delle strade interne, perché appunto erano tutti percorsi di corsa salvati. Ruser estende la ricerca anche in altre zone come l'Afghanistan, in cui trova una serie di linee che collegavano un avamposto all'altro, e l'Iraq, in cui i percorsi preferiti erano quelli lungo le mura di cinta delle basi militari. Tra il 28 e il 29 gennaio, dopo il tweet di Ruser, la storia esplode perché tutte le testate giornalistiche, a partire dal Washington Post, iniziano a scrivere articoli sulla notizia. Il Pentagono addirittura afferma immediatamente di star rivedendo tutte le proprie policy di sicurezza su come i soldati si devono comportare, cosa che fa capire che in realtà ai soldati non era mai stato detto che non potevano usare delle app per la corsa. Probabilmente non ci si immaginava nemmeno che Strava avrebbe pubblicato questa mappa. Però mi viene da dire una cosa: si tratta comunque di percorsi che finiscono online, dentro ai database di Strava, fuori quindi dal controllo dei governi. In questo caso si è trattata di una pubblicazione volontaria da parte dell'azienda, ma la stessa identica cosa sarebbe potuta succedere se Strava fosse stata hackerata e se qualche malintenzionato avesse pubblicato i database dei percorsi. Forse il Pentagono ci poteva arrivare prima al fatto che far usare app di fitness ai soldati che si trovano in basi super segrete nascoste anche da Google Maps e Google Earth non è proprio l'ideale. E invece, a quanto pare, pochi anni prima era stato proprio il Dipartimento della Difesa americano a distribuire ai soldati migliaia di Fitbit, gli orologi per il fitness, all'interno di un programma per pensato per combattere l'obesità nelle truppe. Quindi non solo il Pentagono non aveva vietato l'uso di Strava, ma aveva addirittura incoraggiato i soldati a usare questo genere di app. Un autogol meraviglioso. Vero è che l'accordo del Pentagono riguardava Fitbit e non Strava, ma il punto sta nel non vietare o non impedire comunque l'uso di determinate tecnologie. Se vi ricordate, vi avevo detto nello scorso video sullo Shadow Gatti, che molto spesso i danni non sono causati da dipendenti che vogliono danneggiare l'azienda, ma da dipendenti che non sanno che quello che stanno facendo è sbagliato, che vogliono solo lavorare meglio. In molti casi questi soldati avevano aderito al programma sulla corsa promosso dal dipartimento, avevano trovato un'app per segnare le uscite con cui si trovavano bene e avevano iniziato a usarla. Fine. Era il governo che doveva dire "Vediamo questi dispositivi, però tenete disattivato il GPS, non usate altre applicazioni a parte quelle ammesse, eccetera eccetera." Questa cosa invece venne fatta dopo. Per la precisione, il 3 agosto 2018, quindi circa 7 mesi dopo la scoperta, il Vice Segretario della Difesa vietò l'uso delle funzioni di geolocalizzazione su qualsiasi dispositivo ai soldati che si trovavano in zone di guerra o vicino a basi militari. Chiaramente lo scopo era non regalare al nemico un vantaggio facendogli sapere con esattezza dove si trovavano le truppe. Per quanto riguarda Strava, la società, inizialmente tentò di giustificarsi, di dire che era colpa dei soldati o del governo e che loro non avevano nessuna responsabilità. Poi invece iniziò a collaborare con l'autorità per cercare di risolvere in qualche modo il problema. A marzo 2018 la mappa venne ritoccata, si limitarono i dati ai 2 anni precedenti, mentre prima conteneva proprio lo storico di ogni attività mai svolta. E impedì di fare lo zoom dettagliato a utenti che non fossero registrati sull'applicazione. Piano piano l'interesse nei confronti di questa vicenda iniziò a scemare, ma non per tutti, e in particolare non per un runner di nome Fokke Postma, membro del gruppo Bellingcat, il collettivo di giornalismo investigativo basato su fonti interamente reperibili online, a cui ho già dedicato un video. Postma, da bravo membro del gruppo Bellingcat, si interessa alla vicenda, visto che anche qui si parlava di di trovare informazioni usando dati pubblici. E inizia a pensare: ma non è che anche altre applicazioni per la corsa fanno la stessa cosa? Decide quindi di fare alcuni esperimenti con l'app che usava lui, cioè Polar Flow. Una mattina esce di casa, avvia il tracker della corsa sulla sua applicazione, va a correre e lo spegne al rientro. Poi va sulla funzione Explorer, sostanzialmente la mappa di Polar Flow, e vede che non era stato salvato un percorso generico indicativo. Il GPS indicava con precisione millimetrica il punto di partenza e di arrivo, cioè l'indirizzo di casa sua. E anche su Polar Flow i percorsi fatti dai runner erano tutti pubblici. Postma inizia a cercare sulla mappa di Polar zone sensibili, partendo da Volkel, una base aerea olandese che contiene armi nucleari americane. Trova immediatamente un percorso fatto da un utente, con tanto di nome, cognome e data in cui aveva fatto quella corsa. Cliccando sull'utente si poteva vedere lo storico elenco di tutte le corse che aveva fatto. E Postma riuscì a supporre che fosse un militare, perché appunto intorno a quella base militare c'erano parecchie corse salvate. Ma non solo, c'erano anche quelle invece fatte nella città di provenienza di questo soldato. Quindi Postma riuscì a tracciare con precisione persino il punto in cui abitava quest'utente. Strava, con la sua mappa, mostrava dati aggregati e anonimi, facendo vedere quante volte un determinato percorso era stato fatto. Ma non da chi. La funzione Explore di Polar Flow invece andava molto oltre, perché permetteva di vedere con esattezza chi era stato a fare un determinato percorso e gli indirizzi precisi di partenza e arrivo, con lo storico di tutte le sessioni di allenamento dal 2014 in avanti. E ora qui qualcuno potrebbe dirmi: ok, ma evidentemente si trattava di persone che avevano impostato il profilo come pubblico e che quindi avevano condiviso volontariamente con il mondo le proprie sessioni di allenamento. In realtà non era esattamente così, perché fra gli utenti tracciati c'erano anche persone che avevano impostato il profilo come privato. Polar Flow spiegò poi che in effetti c'era una vulnerabilità nella funzione Explore. Se un utente con profilo privato avesse pubblicato anche solo una volta una sessione di allenamento, il suo user ID, quindi il suo identificativo, sarebbe finito esposto sull'app. Con quell'identificativo chiunque poteva poi andare a ripescare gli altri allenamenti, compresi i geolocalizzati di quella persona. Postma condivise i risultati delle sue scoperte con il resto del gruppo Bellingcat, che iniziò a cercare di capire la portata del problema. In totale raccolsero una lista di circa 6.500 persone di 70 paesi diversi che usavano il loro vero nome e la geolocalizzazione nella app. Solo il 2% di questi aveva il profilo pubblico, tutti gli altri semplicemente avevano pubblicato una volta una sessione. In questa lista, per fare un esempio, c'era anche un soldato olandese olandese di stanza in Iraq che correva con un Polar V800 lungo la pista di un aeroporto. Dai suoi dati i giornalisti riuscirono a tirare fuori il suo nome, dove fosse stanziato, l'indirizzo di casa sua in Olanda e persino i nomi dei suoi familiari. E queste informazioni, come le avevano trovate i giornalisti di Bellingcat, potevano essere tranquillamente trovate anche da un nemico, da qualcuno che magari volesse, non so, rapire la famiglia di questo soldato, ad esempio. Su questa vicenda Bellingcat pubblica un'inchiesta veramente molto interessante, vi metto il link in descrizione. Inchiesta che esce l'8 luglio 2018. Polar reagisce sospendendo immediatamente la funzione Explore e dichiara di non aver subito alcuna violazione dei dati, sostenendo che tutto ciò che era diventato pubblico dipendeva dalla scelta degli utenti di condividere i propri percorsi. Sì, insomma, non era proprio così. Mentre per Strava non ci furono grosse conseguenze legali, per Polar la situazione la situazione fu molto diversa, anche perché comunque Polar è una società finlandese e in Europa siamo molto più attenti alla privacy e al rispetto di quanto dichiarato agli utenti, oltre al fatto che comunque quanto fatto da Polar era oggettivamente più grave. Il garante della privacy finlandese, dopo l'inchiesta di Bellingcat, aprì un'istruttoria che si concluse più di 4 anni dopo, il 27 dicembre 2022, con una sanzione amministrativa da 122.000 euro fatta a un produttore di cardiofrequenzimetri finlandese. In questo provvedimento l'azienda non viene nominata, viene chiamata genericamente Azienda X, anche se le caratteristiche descritte corrispondono in modo abbastanza evidente a Polar. Attenzione però, perché la sanzione non era per aver esposto dei dati degli utenti, anche se avevano il profilo privato, ma era legata alla mancanza di un consenso valido al trattamento dei dati sanitari degli utenti, con riferimento a dati come il consumo di ossigeno o l'indice di massa corporea, che il GDPR, il regolamento europeo sulla privacy, considera categorie di dati particolarmente delicate. In altre parole, l'unico provvedimento sanzionatorio nato da tutta questa vicenda riguarda un aspetto laterale rispetto a quello evidenziato dai giornalisti. Da questi due casi, secondo me, possiamo portarci a casa due insegnamenti ugualmente validi. Il primo è che dobbiamo stare molto attenti ai dati che condividiamo con le applicazioni, perché potrebbero essere raccolti e resi ci mettendo nei guai noi ed eventualmente anche l'azienda per cui lavoriamo. Il secondo è che correre fa male. Già lo sospettavo, dopo questi casi non ho più nessun dubbio. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e se conoscevate già questi due casi. Noi ci rivediamo al prossimo video in cui parleremo del fenomeno del doxxing. A presto!