Fogbreaker
Em outubro de 2024, o jornal francês Le Monde publicou uma investigação que não envolveu hackear nada. Repórteres encontraram os perfis no Strava de 26 agentes do Serviço Secreto dos Estados Unidos, 12 membros da escolta presidencial francesa e seis oficiais do Serviço Federal de Proteção da Rússia. E então leram as corridas deles.
A corrida matinal de um agente começava num hotel de São Francisco poucas horas antes de Joe Biden chegar lá para conversas com Xi Jinping em 2023. A escolta de Emmanuel Macron traçou um fim de semana privado em Honfleur em 2021 que não constava de nenhuma agenda oficial. Vários seguranças de Vladimir Putin registraram corridas perto de um palácio no mar Negro cuja propriedade ele nega.
Ninguém vazou nada. Ninguém foi invadido. Os seguranças subiram seus treinos para um app de fitness, e o app fez exatamente aquilo para o que foi construído.
Essa é a parte que vale entender, e é a parte que quase todo artigo sobre privacidade em apps de fitness erra.
O risco não é o seu app vender seus dados
Pergunte às pessoas o que as preocupa num app de localização e a maioria diz que a empresa vai vender seus dados para anunciantes. É uma preocupação razoável e acontece mesmo. Mas não é o que deu errado, repetidamente, em público.
Volte ao primeiro caso grande. Em novembro de 2017, o Strava publicou um mapa de calor global construído a partir de cerca de um bilhão de atividades: aproximadamente três trilhões de pontos de GPS individuais, uns 27 bilhões de quilômetros de movimento, tudo agregado e anonimizado. Foi uma linda peça de visualização de dados e foi publicada deliberadamente.
Em janeiro de 2018, um pesquisador australiano chamado Nathan Ruser notou algo estranho. No meio do deserto sírio, onde não deveria haver nada, havia circuitos brilhantes de pista de corrida. Eram os perímetros de bases militares. Jornalistas depois confirmaram o mesmo padrão no Iraque e no Afeganistão: contornos de bases, rotas de suprimento, trajetos de patrulha e o ritmo diário de quem se movia onde e quando. Alguns dos locais eram instalações que o governo americano nunca havia reconhecido publicamente. O Strava restringiu o acesso ao mapa de calor no nível da rua naquele março, e o Departamento de Defesa abriu uma revisão.
Nenhuma pessoa daquele conjunto de dados foi identificada. Esse é o ponto. Os dados estavam anonimizados e agregados, e ainda assim desenharam um mapa de infraestrutura sigilosa, porque cem soldados correndo o mesmo circuito são um formato, e formatos significam algo.
Então o resumo honesto é este. Nos dois casos famosos, os dados funcionaram conforme o projeto. Nada foi roubado e nada foi vendido. Configurações públicas por padrão, mais agregação, mais alguém inteligente olhando o resultado.
Isso reformula o que você deveria estar verificando.
O que um app de caminhada consegue ver
Nem tudo se aplica a todo app, e as diferenças importam mais que a lista em si.
Onde você está, com precisão. O GPS de consumo tem precisão de alguns metros a céu aberto. Isso é preciso o bastante para identificar um prédio, não só uma rua.
Onde você está quando não está usando o app. Localização em segundo plano é a maior distinção entre apps. Um app com permissão em segundo plano conhece seus movimentos quando está fechado e no seu bolso. Um app sem ela só sabe o que acontece enquanto você está olhando.
Quando você faz as coisas, o que muitas vezes revela mais que o onde. Uma rota é um fato. A mesma rota às 07h10 todo dia útil é uma agenda, e uma agenda diz a alguém quando você confiavelmente não está em casa.
Seus pontos de início e fim, que são a parte sensível. Essa é a peça que as pessoas consistentemente subestimam. O meio da sua caminhada normalmente não é grande coisa. As duas pontas são sua casa e seu trabalho, e um mapa das suas caminhadas marca as duas com mais confiabilidade que qualquer outra coisa que você pudesse entregar. Isso é mensurável, não teórico: pesquisadores da NC State demonstraram em 2023 que agrupamentos de início e parada no mapa de calor público do Strava podiam ser cruzados com dados de endereços para prever o endereço residencial de um usuário frequente com margem de 100 metros em cerca de 37,5% das vezes. Repassamos esse estudo e os termos de dados atuais do Strava em alternativas ao Strava para quem caminha. Zonas de privacidade que borram um raio em torno do seu endereço existem na maioria dos apps sérios, e quase ninguém ativa.
Com quem você caminha. Listas de amigos, rankings, atividades compartilhadas e curtidas constroem um grafo social sobre os dados de localização. A investigação do Le Monde funcionou em parte seguindo conexões entre contas.
O que pode ser inferido. Dados de movimento sustentam palpites muito além do movimento: onde você compra, onde você reza, a qual clínica você foi, se sua rotina mudou de repente. Nada disso é coletado. Tudo isso é derivável.
As três perguntas que realmente importam
A maioria dos conselhos de privacidade manda ler o aviso de privacidade. Quase ninguém lê, e os avisos são escritos de modo que lê-los raramente muda uma decisão. Estas três perguntas são mais rápidas e dizem mais.
1. O que é público por padrão?
Essa é a que produziu todos os incidentes acima. Não o que a empresa faz com seus dados, e sim o que estranhos conseguem ver sem pedir. Verifique a visibilidade padrão das suas atividades, do seu perfil, dos seus mapas de rota e da sua lista de quem você segue. Se o padrão for público, assuma que tem sido público desde o dia em que você instalou o app.
2. Ele coleta em segundo plano, e você precisa disso?
Localização em segundo plano é genuinamente necessária para algumas funções e puro custo para outras. Um registrador de rota que só roda quando você aperta iniciar não precisa. Um mapa que se preenche automaticamente conforme você caminha precisa. A pergunta não é se o acesso em segundo plano é ruim, é se você está recebendo algo em troca.
No iOS, Ajustes, depois Privacidade e Segurança, depois Serviços de Localização mostra cada app e seu nível atual, incluindo uma seta roxa ao lado de qualquer um que tenha usado sua localização recentemente. No Android, Configurações, depois Localização, depois Permissões de apps faz o mesmo. Os dois deixam você rebaixar um app para “Ao usar o app” num toque.
3. Onde os dados vivem e quem mais recebe cópia?
A jurisdição decide quais direitos você realmente tem, além do que uma página de marketing promete. Dados guardados na UE ficam sob o GDPR, que te dá o direito legal a uma cópia e o direito legal à eliminação. Também vale saber quais terceiros estão listados como operadores, porque é para lá que os dados vão sem nunca serem “vendidos”.
Uma auditoria de cinco minutos
Vale fazer uma vez, para cada app de localização do seu celular e não só o de caminhada.
- Abra as configurações de privacidade ou visibilidade do app e olhe os padrões. Deixe a visibilidade das suas atividades no que você se sentiria confortável de um estranho ver, porque esse é o teste.
- Ative a zona de privacidade em torno da sua casa e do seu trabalho se o app oferecer. É a configuração de maior valor desta lista e a mais ignorada.
- Verifique o nível da permissão de localização nas configurações do celular, não no app. Rebaixe qualquer coisa que não precise de acesso em segundo plano.
- Olhe seu próprio perfil deslogado. Abra numa janela anônima. O que você vir ali, qualquer um pode ver.
- Peça a exportação dos seus dados. Qualquer app em conformidade com o GDPR tem isso. É a única forma de descobrir o que está realmente guardado em vez do que você supõe que está.
- Apague as contas que você parou de usar. Uma conta de fitness abandonada continua sendo um mapa preciso da sua vida no momento em que você a abandonou.
Por que “não vendemos seus dados” é uma resposta incompleta
É um compromisso real e vale a pena ter. Só não cobre os casos que de fato causaram dano.
Uma empresa pode ser completamente honesta sobre nunca vender seus dados e ainda assim publicar um mapa de calor agregado que revela uma base militar. Pode ser adquirida, junto com seu banco de dados, por uma empresa que não fez essa promessa. Pode ser invadida. Pode receber uma ordem judicial. E nada disso toca a maior categoria, que são os dados que você mesmo publicou porque uma configuração padrão estava em público e você nunca olhou.
A pergunta útil não é “vocês vendem?”. É “o que acontece por padrão, o que posso desligar e consigo recuperar tudo?”.
Onde nós estamos
Já que este é o nosso blog, a divulgação honesta. O Fogbreaker é um app de caminhada que revela um mapa conforme você caminha, o que significa que está exatamente na categoria de que trata este artigo, e você deveria submetê-lo às mesmas três perguntas.
O que podemos afirmar sem rodeios: ele é desenvolvido pela Teratis Solutions GmbH, uma empresa alemã. Os dados ficam em servidores na UE e estão sob o GDPR. Não os vendemos nem os compartilhamos com terceiros para publicidade. Você pode excluir sua conta e tudo que há nela por conta própria, a qualquer momento, sem escrever para ninguém pedindo.
O que não vamos fazer é afirmar que a categoria é livre de risco porque estamos nela. Um mapa das ruas que você caminhou é sensível por natureza. Isso vale para o nosso, para o do Strava e para o de cada app nesta comparação. A resposta adequada é saber o que ele guarda, manter seus padrões fechados e conseguir recuperar tudo quando quiser.
A parte que vale lembrar
Os seguranças da história do Le Monde não foram descuidados com um segredo. Eles saíram para correr e apertaram salvar, num app cujas configurações padrão nunca haviam examinado, e o agregado de milhares de decisões comuns como essa virou um mapa de onde vários chefes de Estado estavam dormindo.
Quase ninguém que lê isto está protegendo um presidente. Mas o mecanismo é o mesmo em qualquer escala, e a solução também. Passe cinco minutos nos seus padrões. Ative a zona em torno da sua casa. E então vá caminhar, porque a resposta para isso nunca foi parar de caminhar nem parar de registrar. Foi saber o que o registro diz e quem consegue lê-lo.
