В январе 2018 года разгорелся скандал вокруг фитнес-приложения для любителей спорта Strava: выяснилось, что на интерактивной карте Strava Global Heat Map отображаются GPS-данные о маршрутах пробежек, заездов на велосипедах и пеших походах пользователей фитнес-трекеров, некоторые из которых состоят на службе в вооружённых силах США.
Информация, размещённая в свободном доступе, позволила узнать маршруты пробежек военных около предполагаемой базы ЦРУ в Могадишо (Сомали), а также место дислокации зенитно-ракетного комплекса Patriot в Йемене. После инцидента Пентагон рекомендовал персоналу, пользующемуся носимыми устройствами, ужесточить настройки приватности в своих аккаунтах и не публиковать данные в интернете.
История “прогремела” в СМИ, однако, похоже, мало чему научила. К неутешительному выводу пришёл британский портал журналистских расследований Bellingcat. Совместно с датским ресурсом De Correspondent издание выяснило, что приложение Polar, работающее с одноименными фитнес-устройствами, раскрывает еще больше подробностей о жизни своих пользователей, включая расположение их домов и излюбленные места для занятий спортом, некоторые из которых находятся рядом с засекреченными объектами, такими как базы разведслужб и военных ведомств, аэродромы и места хранения ядерных отходов.
Финская компания Polar известна, как разработчик первого в мире беспроводного датчика сердечного ритма. Пользователи устройств Polar, таких как пульсометры и спортивные часы c функцией GPS, могут делиться своими достижениями во время тренировок через онлайн-сервис и приложение Polar Flow.
Схожие возможности есть и у фитнес-устройств Garmin и Strava, однако по сравнению с ними Polar публикует гораздо более детальные сведения о пользователях. Исчерпывающая информация о тренировках человека по всему миру, с указанием пульса, маршрутов, дат, времени, продолжительности и интенсивности, отображается на карте, с помощью которой можно определить, есть ли поблизости военные объекты. Более того, геолокационные данные позволяют узнать и предполагаемое место жительства пользователя.
Выяснить все это очень просто: по открытым источникам нужно найти на карте место расположения военной базы, выбрать какую-либо из опубликованных тренировочных сессий и посмотреть, к какому пользовательскому профилю она относится, а затем по нему отследить другие места тренировок. Кроме того, поскольку люди включают GPS-трекинг перед началом и завершением тренировок, то есть по выходу из дома и возвращению назад, они непреднамеренно раскрывать место своего жительства на карте. В профилях нередко содержатся полные имена и фотографии, что позволяет установить личность даже без привязки к аккаунту в Facebook.
Журналистам потребовалось лишь несколько кликов компьютерной мышью, чтобы узнать, где по утрам бегают офицер авиабазы с ядерным оружием и сотрудник одной из баз ВВС США. В профилях обоих содержались полные имена. Также на сайте Polar Flow удалось обнаружить нескольких военнослужащих западных стран, дислоцирующихся на военных объектах в Афганистане.
Взяв информацию из одного такого профиля, журналисты по имени и фото нашли соответствующий аккаунт в Facebook, который подтвердил предположение о принадлежности человека к вооруженным силам. Собранная Polar статистика показала, что он совершал пробежки рядом с несколькими военными базами в разных районах Ближнего Востока. Дом военного, по всей вероятности, находится в штате Нью-Йорк, где он многократно начинал и завершал свои тренировки. Также приложение Polar рассказало о путешествиях пользователя: он бывал на западном побережье США, где катался на велосипеде, и ездил в Таиланд, где тренировался в отеле.
С помощью метода веб-скрапинга (еще одной уязвимости сайта Polar) и сопоставления имен из профилей Polar с аккаунтами в социальных сетях, в том числе LinkedIn, удалось составить список из 6,5 тысячи уникальных пользователей, тренирующихся поблизости с военными и секретными объектами. Среди них оказались сотрудники ФБР и АНБ, военные специалисты в области ИТ и кибербезопасности, противоракетной обороны и разведки, члены экипажей субмарин, работники АЭС и других стратегических объектов. Также в перечень попали американцы, находящиеся в международной зоне столицы Ирака Багдаде, военный персонал в заливе Гуантанамо, служащие у границ Северной Кореи, военные летчики, участвующие в авиаударах по Исламскому государству и даже российские военнослужащие в Крыму.
Журналисты отмечают, что данные с сайта Polar, попав в руки экстремистов или спецслужб, могут обернуться серьезными последствиями для национальной безопасности. Более того, размещение подобной информации в открытом доступе может нести угрозу не только для военных, но и для гражданских. Например, с ее помощью преступники могут выяснить, когда граждане бывают дома, а когда оставляют квартиру без надзора и отправляются на тренировки.
В ответ на публикацию и шумиху в СМИ финский производитель напомнил пользователям о том, что они сами принимают решение о публичной доступности данных о тренировках. Настройки уровня приватности предусмотрены в каждом профиле. Тем не менее, в Polar решили приостановить функцию Explore, позволяющую видеть данные пользователей в открытом доступе, и пообещали предпринять дополнительные меры для информирования о рисках, сопряжённых с публикацией GPS-данных. Nag.ru