Surveillance, cambriolage ou espionnage : les dangers de l'application Strava
Un article du journal Le Monde paru en octobre dernier dévoilait des failles de sécurité liées à l'utilisation de l'application Strava, bien connue des coureurs à pied. A son tour, Zatopek Magazine a choisi de mener l'enquête.
- Publié le 17-02-2025 à 17h10
Tous les trois mois, le magazine Zatopek fait la démonstration qu'on peut parler de course à pied de façon surprenante, instructive, drôle et même émouvante quelques fois. À découvrir absolument pour tous ceux qui sont déjà coureurs. Et tous ceux qui ambitionnent de le devenir.
Strava est le nom de la plus célèbre application de course à pied. Elle a été créée en 2009 par deux copains, les Américains Michael Horvath et Mark Gainey, dans le but de favoriser les échanges entre coureurs et, partant de là, de renforcer leurs motivations. Aujourd'hui, ils sont plus de 125 millions d'utilisateurs dans le monde.
Comme dans toutes les révolutions, notre passage au numérique a engendré des conséquences antagonistes ; certaines favorables à la bonne marche de la société ; d'autres très menaçantes au contraire.
Avis aux cambrioleurs
Un exemple ? Un cambrioleur découvre via Strava que le propriétaire des biens qu'il convoitise s'absente de chez lui pour aller courir tous les jeudis soir entre 18 heures et 19 heures 30. Il sait donc exactement quand la voie sera libre pour perpétrer son forfait. Plus grave ! L'application permet aussi de repérer les personnes qui courent seules sur des parcours parfois isolés. Cela fait d'elles des proies faciles pour une éventuelle agression.
Les concepteurs de l'application ont-ils conscience de ces dangers ? Oui, bien sûr ! Ils proposent des fonctions comme l'affichage en mode "privé" qui restreint l'accès à son profil à ceux qui ont été précédemment reconnus comme amis. On peut aussi masquer les lieux de départ et d'arrivée de ses sorties. C'est ce que font les personnalités publiques qui craignent que ne soient révélés leurs lieux de résidence.
Elles ne sont pas les seules. "J'ai découvert Strava en même temps que je me suis mise à courir", explique Inès, devenue depuis lors une utilisatrice assidue. "Je trouvais ça amusant. Mais je me suis vite sentie mal à l'aise avec le fait que toutes ces informations soient rendues publiques. Du coup, je masque mes lieux de départ et d'arrivée et je ne poste ma course qu'après l'avoir terminée. En discutant autour de moi, j'ai compris que c'était une technique très répandue parmi les utilisateurs. Surtout les femmes."
OSINT : une arme de description massive
La planification d'un cambriolage n'est pas le seul scénario possible d'un détournement de données. On peut en imaginer d'autres et même une utilisation de l'outil à des fins géopolitiques. Depuis 2018, Strava permet en effet à ses utilisateurs de publier le tracé du parcours de leur activité sur ce que l'on appelle une "heatmap". Littéralement, cette "carte de chaleur" permet de visualiser les zones où il y a le plus de sorties enregistrées, quitte à attirer l'attention sur des lieux ordinairement moins fréquentés.
Sur les 125 millions d'utilisateurs, on trouve un certain nombre de militaires ou de gardes du corps qui utilisent cette fonction. Le cas échéant, cela permet de pister assez précisément le déplacement d'une personnalité. Par exemple, de savoir dans quel hôtel est descendu un chef d'État. Les mouvements de troupes aussi risquent de ne plus passer inaperçus.
En février 2022, la guerre en Ukraine a réellement débuté lorsque les services américains ont détecté une activité militaire tout à fait inhabituelle sur une route de Russie proche de la frontière ukrainienne. Ces données ont ensuite été corroborées par des images satellites et des rapports locaux. En l'occurrence, il ne s'agissait pas de Strava mais de l'application Google Maps. Seulement, le principe est le même. Un outil destiné à l'usage civil s'est trouvé détourné à des fins militaires.
Des outils existent même pour combiner ces différentes sources d'informations. L'un d'eux est connu sous l'acronyme OSINT (pour "Open Source intelligence"). La technique consiste en somme à regrouper tout ce qu'il est possible de savoir sur une personne de manière légale, sans recourir au piratage informatique (ou "hacking"). Elle est utilisée par des organismes comme les sociétés d'assurance, les banques mais aussi les services secrets des Etats des différents pays en zone de conflit.
Un espion est si vite arrivé
En attendant des directives venues d'en haut, chacun dans sa sphère sera bien inspiré de manier ces applications avec une certaine méfiance. Ce que nous ne faisons pas ! La plupart d'entre nous se montrent encore beaucoup trop naïfs. Même parmi les grands de ce monde.
"Je vais vous raconter une anecdote édifiante", indique Maître Étienne Wéry, avocat aux barreaux de Paris et Bruxelles et grand spécialiste des technologies digitales. "J'avais rendez-vous pour une émission à la télévision. Comme j'étais en avance, on m'a fait patienter dans une salle où les invités précédents avaient déposé leur téléphone et quelques documents. Quelques minutes plus tard, ce fut mon tour. En me dirigeant vers le plateau, je croise donc une ministre, invitée du sujet précédent, et je lui fais remarquer que, si j'avais été animé de mauvaise intention, j'aurais eu plus de temps qu'il n'en fallait pour installer une application et pirater son téléphone. La ministre m'a regardé comme si je lui avais parlé une langue étrangère."
Maître Wery en conclut : "Même nos dirigeants n'ont pas conscience des enjeux."
Il y a moyen de protéger facilement
Oui, on doit éviter de se montrer trop confiant au moment de poster des informations personnelles. Mais sans sombrer dans la paranoïa pour autant. Moyennant quelques précautions, oui, il est possible d'utiliser une application comme Strava et ses semblables sans se sentir pisté, que ce soit par le coureur que vous avez battu à la course précédente, par Nike ou par Adidas ou même par le gouvernement chinois.