피트니스 앱 허점으로 인해 집 주소에 접근 가능

May 09, 2023

사용자 데이터를 익명화하려는 시도에도 불구하고 피트니스 앱 Strava를 사용하면 누구나 일부 사용자에 대한 집 주소를 포함한 개인 정보를 찾을 수 있습니다. 새로운 연구에 자세히 설명된 이 결과는 심각한 개인 정보 보호 문제를 제기합니다.

"Strava 사용자는 자신의 개인 정보가 보호되기를 기대하며, 연구 결과에 따르면 이것이 항상 그런 것은 아니라는 사실이 드러났습니다."라고 해당 연구의 수석 저자이자 노스캐롤라이나 주립 대학의 컴퓨터 과학 조교수인 Anupam Das는 말합니다. "이는 스토커를 걱정하거나 자신의 위치 데이터를 대중에게 공개하지 않기를 원하는 다른 이유가 있는 사용자에게 특히 문제가 될 수 있습니다."

Strava는 사용자가 자신의 운동 활동을 추적할 수 있을 뿐만 아니라 사용자가 서로 연결하는 데 도움이 되도록 설계된 기능도 포함하는 모바일 피트니스 추적 앱입니다. 이러한 기능은 하이킹이나 사이클링과 같은 공통 관심사를 중심으로 클럽을 구성하는 데 사용될 수 있습니다. 예를 들어 앱에는 사용자 데이터를 집계하는 '히트맵' 기능이 포함되어 있습니다. 모든 사용자 데이터는 익명으로 처리되지만 히트맵 기능을 통해 사용자는 특정 지역에서 하이킹, 달리기 또는 자전거 타기를 하는 다른 Strava 사용자 수를 확인할 수 있습니다.

"Strava는 히트맵 기능이 집계 데이터만 사용하므로 누구도 특정 사용자에 대한 개인 정보를 캡처하는 것이 불가능하다는 점을 강조합니다."라고 Das는 말합니다. "그러나 우리는 허점을 발견했습니다."

특히 연구원들은 누구나 특정 지역의 Strava 사용자를 모두 조회할 수 있다는 사실을 발견했습니다. 사용자가 히트맵의 집계 데이터를 보고 각 익명 사용자의 경로가 시작되고 끝나는 위치를 확인하는 것도 가능합니다.

Das는 "인구 밀도가 높고 경로와 사용자가 많은 지역에는 데이터가 너무 많아서 특정 사람을 추적하는 것이 극히 어려울 수 있습니다"라고 말합니다. "그러나 사용자가 적거나 경로가 적은 지역에서는 제거 과정이 간단해집니다. 특히 누군가가 찾고 있는 사람이 Strava 활동이 활발한 사용자라면 더욱 그렇습니다. 자신의 계정을 비공개로 표시한 사용자도 나타납니다. 누구든지 특정 자치단체의 모든 사용자 목록을 검색할 때 계정을 비공개로 표시한다고 해서 반드시 이 추적 기술에 대한 추가 보호가 제공되는 것은 아닙니다."

"우리는 이에 대해 Strava에 연락했고, 회사는 특정 영역에서 여러 사용자가 활동하지 않는 한 히트맵 데이터를 공유하지 않는다고 말했습니다."라고 NC State의 전 학부생이자 논문의 첫 번째 저자인 Kevin Childs는 말합니다. "그러나 우리는 히트맵을 사용하여 특정 지역에 있는 일부 사용자의 집 주소를 식별할 수 있었고 유권자 등록 데이터를 사용하여 이러한 신원을 확인했습니다."

그러나 개인 정보를 보호하기 위해 사용자가 할 수 있는 일이 있습니다.

Das는 "사용자는 Strava 계정 설정으로 이동하여 '집계 데이터 사용량' 기능에 대한 데이터 제공을 선택 해제할 수 있습니다. 그러면 히트맵에서 해당 경로가 완전히 제거됩니다."라고 Das는 말합니다.

"Heat Marks the Spot: De-Anonymizing Users' Geographical Data on the Strava Heatmap"이라는 논문은 5월 25일 캘리포니아주 샌프란시스코에서 열린 제7차 기술 및 소비자 보호 워크숍(ConPro '23)에서 발표되었습니다. -NC 주립대 학부생 Daniel Nolting이 저술함.

-선원-

편집자 참고 사항:연구 요약은 다음과 같습니다.

"열로 인해 발생하는 현상: Strava 히트맵에서 사용자의 지리적 데이터 익명화 해제"

저자: Kevin Childs, Daniel Nolting, Anupam Das, 노스캐롤라이나 주립대학교

발표: 5월 25일, ConPro '23, 캘리포니아주 샌프란시스코

추상적인: Strava와 같은 모바일 피트니스 추적 앱은 일반적으로 활동을 기록하고 피트니스 진행 상황을 추적하며 같은 생각을 가진 사람들과 커뮤니티를 형성하는 데 사용됩니다. 커뮤니티에 더욱 적극적으로 참여하기 위한 노력의 일환으로 Strava는 2018년에 모든 활동을 익명으로 단일 지도에 집계하는 옵트아웃 히트맵 기능을 구현했습니다. 이를 통해 사용자는 핫스팟과 활성 트레일을 찾는 동시에 사용자의 집 주소 추론과 같은 비익명화 공격에 플랫폼을 개방할 수 있습니다. 공개적으로 사용 가능한 히트맵을 크롤링하고 수동 검증을 통해 우리는 원격 지역에서 활발하게 활동하는 사용자의 집 주소를 식별할 수 있으며 Strava의 개인 정보 보호 주장을 위반하고 사용자 개인 정보 보호에 위협이 될 수 있음을 입증했습니다.