Comme Strava, l’application Polar a partagé des données sensibles

Par le biais de sa carte, l’application de fitness Polar a partagé des données portant sur la géolocalisation de certains lieux ultra-sensibles.

Il y a si mois, l’application Strava était accusée de ne pas avoir suffisamment protégé ses données de géolocalisation, si bien que la localisation de certaines bases militaires avait été révélée par sa carte thermique. Compte tenu du fait que la heatmap illumine les zones où se situent les utilisateurs en temps réel, certains endroits habituellement peu fréquentés scintillent sur la carte du monde. Dans des zones telles que les États-Unis et l’Europe, lieux où se trouvent beaucoup d’utilisateurs, rien n’est anormal. Mais dès lors qu’il s’agit de pays comme l’Irak ou l’Afghanistan, peu de points apparaissent, et il s’agit majoritairement là de soldats américains.

De la même façon, la carte Explore de Polar a permis à deux médias de révéler qu’une fuite avait bien eu lieu. Le 8 juillet, De Correspondent et Bellingcat ont publié une enquête conjointe dans laquelle il explique spécifiquement le problème. Une fois de plus, des « bases militaires, des aérodromes, des sites de stockage des armes nucléaires et des ambassades à travers le monde » ont été exposés. Pour se faire, il a suffi que l’utilisateur partage son parcours sur la carte Explore.

De fait, il est possible de voit qu’un utilisateur ayant couru en Irak ou en Afghanistan court aussi aux Pays-Bas. Partant de ce constat, il est facile de comprendre qu’il vit aux Pays-Bas et qu’il travaille vers une base sensible. De plus, les points de départ et d’arrivées des parcours sont renseignés, si bien qu’il est facile de comprendre où vit l’utilisateur.

Pour sa part, Polar nie toute fuite de données, arguant du fait que les utilisateurs ont choisi de partager ces données, nativement, plutôt que de les protéger. Malgré tout, les deux médias révèlent qu’une faille de l’API leur a permis d’accéder aux mêmes données des utilisateurs qui avaient pourtant mis leur profil en mode privé.