Strava: heatmap svela dove abitano gli utenti

I ricercatori della North Carolina State University Raleigh hanno scoperto un grave problema per la privacy nella funzionalità Heatmap di Strava. La “mappa di calore” pubblica può essere utilizzata per scoprire l’indirizzo di residenza degli utenti. Il metodo non è molto accurato, ma è preferibile limitare i rischi sfruttando le impostazioni dell’app.

Attenzione alla heatmap

Strava è una delle app di fitness tracking più popolari in assoluto con oltre 100 milioni di utenti nel mondo. Una delle funzionalità più avanzate è denominata Heatmap. Utilizzando i dati GPS, Strava crea una mappa di calore che permette di scoprire nuovi posti per le attività sportive (corsa, ciclismo o nuoto). È attiva per impostazione predefinita, quindi deve essere disattivata manualmente. Le informazioni sono fornita in forma aggregata (quindi anonima), come indicato nelle opzioni relative alla privacy.

Le attività effettuate in aree molto affollate non consentono di determinare la heatmap associate ai singoli utenti. Se invece ci sono pochi utenti attivi è possibile “seguire” le singole mappe di calore. I ricercatori hanno catturato gli screenshot delle heatmap pubblicate in un mese negli stati Arkansas, Ohio e North Carolina.

Usando un tool per l’analisi delle immagini sono state individuate le aree di partenza e arrivo nelle strade che indicato la presenza di un’abitazione. Sono state successivamente sovrapposte le immagini di OpenStreetMaps. Utilizzando la funzione di ricerca di Strava, i ricercatori hanno associato le heatmap ai singoli utenti, molti dei quali effettuano la registrazione con il nome reale e aggiungono anche una foto al profilo.

Considerano una soglia di 100 metri, la probabilità di scoprire l’indirizzo di residenza è del 37,5%. I ricercatori forniscono alcuni consigli per proteggere la privacy: disattivare la funzionalità, mantenere il profilo privato o avviare il tracciamento lontano dall’abitazione. Strava potrebbe anche estendere le “hidden zones” alle heatmap. Al momento sono disponibili solo per le attività condivise.