I dati della tua app di corsa sono al sicuro dagli hacker?

Le app di corsa creano una mappa in tempo reale del tuo percorso, e anche dei tuoi dati biometrici. Inviano un registro preciso dei tuoi movimenti a un server da qualche parte nel mondo, solo che non sai dove si trovi. Questa mappa rivela dove vivi, quando di solito lasci la casa vuota, quali sentieri isolati frequenti e quanto sei in forma. Per ovvie ragioni, fa paura pensare che queste informazioni possano finire nelle mani di uno sconosciuto.

Eppure quella mappa è esattamente il tipo di informazione che qualcuno, altrove, potrebbe voler leggere senza il tuo permesso.
Nel gennaio 2018 Strava ha pubblicato una mappa di calore globale, costruita sommando miliardi di tracciati GPS caricati dagli utenti. In mezzo al deserto, dove secondo le mappe ufficiali non c'era nulla, comparivano percorsi ad anello ripetuti ogni giorno alla stessa ora: erano basi militari statunitensi all'estero, con i soldati di stanza lì che avevano continuato ad allenarsi con l'app accesa. Il Pentagono ha dovuto rivedere le regole sull'uso dei dispositivi GPS proprio per quell'episodio.
Nel 2018 Under Armour ha comunicato che gli account di MyFitnessPal, l'app che tanti usano per contare le calorie oltre ai chilometri, erano stati violati: email, nomi utente e password, cifrate per fortuna, di centocinquanta milioni di persone erano finite nelle mani sbagliate. Basta pensare a quante volte riusiamo la stessa password ovunque per capire perché la notizia abbia fatto rumore ben oltre il fitness.
Nel luglio 2020 il gruppo Evil Corp ha colpito Garmin con un ransomware chiamato WastedLocker, chiedendo dieci milioni di dollari per sbloccare i sistemi. Per giorni Garmin Connect è rimasto indisponibile e chi si allenava con un orologio Garmin non riusciva più a sincronizzare le uscite né a vedere lo storico. L'azienda non ha mai confermato di aver pagato il riscatto.

Cosa puoi controllare tu

Alcune cose dipendono da chi gestisce l'app e su quelle possiamo fare ben poco se non scegliere con più attenzione a chi affidiamo i nostri dati. Altre dipendono da noi: verificare se esiste una zona di privacy attorno a casa, non riusare mai la stessa password su ogni account, disattivare la condivisione pubblica dei percorsi quando non serve a nessuno vederli e prestare attenzione alla rete che usi quando sincronizzi l'app. Il wifi gratuito del centro sportivo o quello dell'hotel la sera prima di una gara fuori città, quasi mai è protetto quanto pensiamo: chiunque sia collegato può intercettare quello che l'app sta scambiando in quel momento. Prima di sincronizzare da una rete che non è la tua, conviene passare da una connessione cifrata: trova tutte le informazioni su questo servizio VPN qui, così saprai come proteggere i dati che l'app manda in giro ogni volta che chiudi una sessione.
Vale la pena sapere, però, che pure la zona di privacy che spunti nelle impostazioni non è la cassaforte che sembra. Un gruppo di ricercatori della KU Leuven ha testato Strava insieme ad altre app di corsa e ciclismo, tutte con la stessa funzione per nascondere il tratto vicino a casa. Il trucco sta nei dati grezzi che l'app manda in background: mentre la mappa che vedi arrotonda le distanze a cento metri, il traffico di rete le riporta con una precisione di dieci centimetri. Con un normale strumento da sviluppatore e un po' di analisi statistica sul punto in cui il tracciato entra ed esce dalla zona nascosta, i ricercatori sono risaliti all'indirizzo reale in ottantacinque casi su cento.