Si vous voulez savoir s’il y a des bases militaires américaines ou européennes dans votre pays (Algérie, Maroc, Mali, Niger, Tunisie…), il vous suffit de télécharger cette application et de voir la carte du monde des joggeurs ! Nul besoin de pirater les serveurs de la NSA ou du Département de la Défense américain ou quoi que ce soit d’autre… Décidément la fragilité de leur système est effrayante.
You can literally spend less than a minute on Stravas new data service and find sensitive sites. Nice patriot position you have there pic.twitter.com/eYS8TOuT0F
hmmm i wonder whats at this random heavy route in what looks like a mountainous and remote area of libya. Oh look some bunkers that were targeted in 2011 pic.twitter.com/gg5VFIPVQZ
La faute aux bracelets connectés
Nathan Ruser a ainsi posté, sur son fil Twitter et depuis chez lui, l’emplacement des bases avancées opérationnelles américaines autour de Kandahar, en Afghanistan, telles qu’elles apparaissaient sur la carte de Strava. Leur existence était connue, mais les entraînements sportifs autour de ces bases peuvent donner des informations importantes à des combattants ennemis cherchant à organiser des embuscades. Pour illustrer ce risque, Nathan Ruser a isolé une ligne rouge qui sort d’une base militaire « et semble indiquer un itinéraire habituel de jogging de soldat, ce que je ne devrais pas être capable de voir de si loin », déclare-t-il sur son fil. L’outil de Strava peut ainsi être utilisé à des fins de contre-espionnage.
Strava ne précise pas sur sa carte, bien sûr, si les traces laissées proviennent de simples civils, de soldats ou encore s’il s’agit de résidents américains, français, d’Afghans ou d’Irakiens. Tout point lumineux isolé n’est pas forcément un site militaire top secret. Néanmoins, pour que les « prouesses » athlétiques apparaissent, il faut avoir l’application Strava sur son smartphone, ou avoir relié son bracelet connecté Fitbit ou autres à cette plateforme.
Pretty nice running route for someone at Iran’s Chabahar Air Base. IIRC, Shahed-129, Iran’s take on the Predator, has been spotted in the hangar next door. pic.twitter.com/p8BLvQbAZM
Some heavy jogging activity on the beach around what looks like the reported CIA annex at Mogadishu airport pic.twitter.com/1OLP8zWKGl
Les soldats américains en disposent, puisque l’armée américaine a distribué 2 500 de ces bracelets à l’occasion d’une opération en 2013 pour lutter contre l’obésité. Dans des régions particulièrement isolées, en plein milieu du Sahara ou dans les montagnes afghanes, les petits points lumineux qui apparaissent sur la carte de Strava ont davantage de chances de provenir de mouvements de militaires connectés que de locaux équipés d’un smartphone ou d’un Fitbit voulant partager avec le monde entier leurs petites courses quotidiennes du matin.
L’armée américaine semble du même avis et a décidé, dimanche 28 janvier, de regarder de plus près les informations sensibles que cette carte pourrait révéler. D’autres experts militaires et journalistes spécialisés s’y sont aussi attelés. Les uns ont retrouvé une intense activité non loin de l’aéroport de Mogadiscio, en Somalie, dans une zone qui abriterait une base de la CIA. Un autre estime que la carte de Strava confirme l’existence d’un “site secret” de la CIA dans les environs de Djibouti. Un spécialiste de l’Ukraine, le journaliste Christopher Miller, explique aussi que ces données permettent d’en savoir plus sur les mouvements de troupes dans la région de Donetsk, puisqu’il n’y a quasiment plus que des soldats russes ou militants séparatistes dans certaines zones.
Manque de discrétion technologique
Les implications sécuritaires de cette mise en ligne sont encore plus graves, d’après Jeffrey Lewis, directeur du programme de non-prolifération en Asie du Sud-Est de l’université de Monterrey (Mexique). “Les données collectées par Strava permettent aussi de suivre les déplacements d’un utilisateur sur une longue période de temps, des données très sensibles pour, par exemple, des soldats affectés à la protection de site de lancement de missiles”, écrit-il sur le site The Daily Dot. Une catastrophe potentielle, d’après lui, pour Taïwan qui fait tout pour cacher ses sites de lancement de missiles. L’un des emplacements est pourtant connu et il suffirait de retrouver l’itinéraire d’un soldat affecté à ce lieu stratégique et inscrit à Strava : « Comme ces militaires font la tournée des sites de missiles qu’ils doivent protéger, un pirate informatique, par exemple chinois, qui mettrait la main sur toutes les données de Strava, pourrait aisément confirmer la localisation de tous les lieux de lancement », affirme-t-il.
Here are some FOBs in Afghanistan. pic.twitter.com/JoB7hKHwyh
If soldiers use the app like normal people do, by turning it on tracking when they go to do exercise, it could be especially dangerous. This particular track looks like it logs a regular jogging route. I shouldn’t be able to establish any Pattern of life info from this far away pic.twitter.com/Rf5mpAKme2
Cette fuite de données sensibles, bien involontaire, aurait pu être évitée, avec un peu plus de discrétion technologique de la part des militaires en place. Strava précise qu’il existe des réglages simples pour : définir une zone géographique “privée” à ignorer par Strava ou interdire purement et simplement à la plateforme de collecter et de publier les données. L’armée américaine n’a pas précisé s’il existait des règles spécifiques à suivre pour l’utilisation de bracelet connecté.
Mais cela pourrait être pire encore : Strava n’a accès qu’à une somme d’informations limitées. Les dégâts auraient été autrement plus importants si les données de géolocalisation glanées au fil des ans par Google, grâce au milliard de smartphones Android en circulation avec leur GPS, venaient à fuiter. Jusqu’à présent, grâce au GPS on pouvait trouver facilement le café du coin, cette affaire montre qu’il permet de tout aussi facilement localiser le site ultra-secret le plus proche de chez vous.
Sébastian Sebt – France 24
