H εφαρμογή της Strava έχει δημιουργήσει ένα κοινωνικό δίκτυο που χρησιμοποιείται για την παρακολούθηση των αθλητικών δραστηριοτήτων ενός χρήστη ωστόσο έχει κατηγορηθεί στο παρελθόν ότι η εφαρμογή του Παγκόσμιου Θερμικού Χάρτη (Global Heatmap) έδωσε τη δυνατότητα στο καθένα να εντοπίζει στρατιωτικές βάσεις και περιπολίες καθώς και κρυφές θέσεις αξιωματούχων υπηρεσιών πληροφοριών σε διάφορα σημεία του πλανήτη, με βάση συγκεντρωτικές πληροφορίες από τους χρήστες της Strava.

Έρευνα: Νικόλαος Γεωργιτσόπουλος*

Αυτό μπορεί να γίνει μέσα από τις φορητές συσκευές παρακολούθησης και καταγραφής της αθλητικής δραστηριότητας του χρήστη. Αυτές μπορεί να είναι ένα έξυπνο ρολόι είτε μπορεί να είναι ενεργοποιημένη η εφαρμογή της Strava στο κινητό τηλέφωνο του χρήστη. Ωστόσο το θέμα αυτής της δημοσίευσης δεν είναι το συγκεκριμένα μίας και σε αυτό έχω αναφερθεί σε προηγούμενη εκτενής δημοσίευση την οποία μπορείτε να βρείτε εδώ.

Επιπλέον ένα απλό ζουμ στο θερμικό χάρτη μπορεί να αποκαλύψει τα ατομικά προφίλ των αθλητών που έχουν τρέξει μία διαδρομή (αν έχουν ξεχάσει να θέσουν το προφίλ τους ως ιδιωτικό!!). Το γεγονός αυτό δεν είναι ακριβώς και ότι καλύτερο για θέματα επιχειρησιακής ασφάλειας (OPSEC).

Η αποκάλυψη αυτή προκάλεσε μια τεράστια κατακραυγή και ορισμένες στρατιωτικές ηγεσίες ανά τον κόσμο, μεταξύ αυτών και οι ΗΠΑ, απαγόρευσαν στο προσωπικό τους τη χρήση συσκευών καταγραφής και παρακολούθησης της αθλητικής τους δραστηριότητας (όπως για παράδειγμα Smartwatch, Fitbit κλπ). Η Strava αντέδρασε επίσης γρήγορα, ενημερώνοντας την ασφάλεια του θερμικού χάρτη (Heatmap) και διασφαλίζοντας ότι η εταιρεία «σέβεται τα προσωπικά δεδομένα του χρήστη και μοιράζονται τις ανησυχίες των χρηστών της σχετικά με την ασφάλεια των πληροφοριών που αποστέλλουν στις ιστοσελίδες της Strava». Ωστόσο, ακόμη και μετά τις ενημερώσεις που έγιναν, είναι ακόμη δυνατή η συλλογή ευαίσθητων πληροφοριών από τα δεδομένα που δημοσιεύει η Strava. Περισσότερα για αυτό μπορείτε να βρείτε στο σύνδεσμο εδώ.

H εφαρμογή της Strava ενημερώνει τους χρήστες μέσω του ιστότοπου της ότι εάν ενεργοποιηθεί η λειτουργία βελτιωμένου απορρήτου, οι δραστηριότητες του χρήστη εξακολουθούν να είναι ορατές σε δημόσιες τοποθεσίες όπως οι δραστηριότητες Flyby, ομαδικές δραστηριότητες (group activity features), τμήματα δραστηριοτήτων (segment), δημόσιες ομάδες και πίνακες πρόκλησης δραστηριοτήτων (challenge leaderboards). Αυτό σημαίνει ότι τα ατομικά προφίλ των αθλητών μπορούν ακόμα να είναι προσβάσιμα μέσω των αυτόματων πινάκων (leaderboard) κατάταξης επιτευγμάτων.

Με απλά λόγια αν ένας αθλητής που χρησιμοποιεί την εφαρμογή της Strava και θέλει να φαίνεται το όνομα του στους πίνακες κατάταξης επιτευγμάτων (leaderboard) για μία συγκεκριμένη δύσκολη αθλητική διαδρομή ή επιθυμεί να «επαίρεται» για το ατομικό του σκορ τότε διακατέχεται από το κίνδυνο, το προφίλ του να είναι ορατό σε όλους τους χρήστες της εφαρμογής εξαιτίας αυτού του χαρακτηριστικού.

Τώρα ας επανέλθουμε στο τίτλο του άρθρου και ας δούμε πώς μπορεί να χρησιμοποιηθεί αυτή η γνώση κατά τη διάρκεια μίας αστυνομικής έρευνας;

Έστω ότι υπάρχει η ακόλουθη κατάσταση: Το πτώμα ενός άγνωστου άνδρα βρέθηκε στις 18 Ιουλίου 2017 κοντά σε μια λίμνη που ονομάζεται «Amphibientümpel» στο πάρκο Forstenrieder του Μονάχου.

Εικόνα 1: Πηγή: : //keyfindings.blog/2018/08/31/using-strava-in-law-enforcement-investigations/.

Η αρχική έρευνα στη σκηνή του εγκλήματος καταλήγει στο συμπέρασμα ότι το θύμα δολοφονήθηκε στο σημείο αυτό και δε μεταφέρθηκε από κάποια άλλη τοποθεσία. Η αυτοψία που έκανε ο ιατροδικαστικής αποκαλύπτει, ότι η ώρα θανάτου του θύματος τοποθετείται το απόγευμα της 16ης Ιουλίου 2017. Το πάρκο Forstenrieder προτιμάται από τους αθλητές της πόλης καθώς είναι ιδανική τοποθεσία για τρέξιμο. Οι αστυνομικοί που έφτασαν στο σημείο για την εξερεύνηση της σκηνής του εγκλήματος παρατήρησαν ότι δεκάδες δρομείς, πεζοπόροι και ποδηλάτες χρησιμοποιούν το μονοπάτι δίπλα από το οποίο βρέθηκε το πτώμα σε καθημερινή βάση.

Αμέσως στο μυαλό τους ήρθε ένα λογικό ερώτημα; Τι πιο λογικό να σκεφτεί κάποιος ότι ίσως ένας από αυτούς του αθλητές που έτρεχε ή έκανε ποδήλατο ή απολάμβανε το περίπατο του στο πάρκο είχε παρατηρήσει κάτι ύποπτο στο σημείο πλησίον της λίμνης την ημέρα του εγκλήματος;

Οι Γερμανοί αστυνομικοί που είχαν εκπαιδευτεί σε τεχνικές αναζήτησης συλλογής και επεξεργασίας πληροφοριών από ανοικτές πηγές-OSINT (Open Source Intelligence) ελέγχουν τον ιστότοπο της Strava για να δουν αν το προαναφερθέν μονοπάτι είναι ταξινομημένο ως τμήμα (segment) επιλεγμένης διαδρομής για τρέξιμο ή περπάτημα. Πράγματι το αναμενόμενο αποτέλεσμα επιβεβαιώνεται. Κάνοντας αναζήτηση στο συγκεκριμένο τμήμα καταγεγραμμένης αθλητικής δραστηριότητας βρίσκουν πολύτιμες πληροφορίες.

Εκείνη την ημέρα του εγκλήματος, προστέθηκαν στο πίνακα κατάταξης (leaderboard) του συγκεκριμένου τμήματος διαδρομής δύο κορυφαίες ώρες. Μέσω αυτού του πίνακα κατάταξης (leaderboard), οι ερευνητές μπορούν να έχουν πρόσβαση στα προφίλ αυτών των δύο αθλητών, συμπεριλαμβανομένων των ονομάτων καθώς επίσης και της εικόνας προφίλ που έχουν ανεβάσει.

 

Εικόνα 2: Πηγή: //keyfindings.blog/2018/08/31/using-strava-in-law-enforcement-investigations/.

Ο πρώτος από αυτούς τους αθλητές χρησιμοποιεί τη βελτιωμένη λειτουργία απορρήτου, κρύβοντας τις αθλητικές δραστηριότητες στο προφίλ του από τους υπόλοιπους χρήστες. Για να έχει πρόσβαση σε αυτές τις δραστηριότητες ένας τρίτος πρέπει να δώσει τη συγκατάθεσή του ο χρήστης σε μεμονωμένους χρήστες και να τους επιτρέψει να τον ακολουθήσουν. Από την άλλη πλευρά ο δεύτερος αθλητής παρέχει δημόσια πρόσβαση στο προφίλ του και κατά συνέπεια σε όλα τα δεδομένα του. Η λειτουργία αυτή παρέχει στον αθλητή που χρησιμοποιεί την εφαρμογή να χρησιμοποιεί την εφαρμογή της Strava για να συγκρίνει τον εαυτό του με άλλους αθλητές που έχουν διασχίσει την ίδια διαδρομή.

Οι ερευνητές ερευνούν σχολαστικά τις δραστηριότητες του και παρατηρούν ότι το τρέξιμο που αναγράφεται στον επίμαχο πίνακα αποτελεσμάτων ξεκίνησε στις 16:59 μ.μ. Συμπερασματικά από την ημερομηνία και το χρόνο βρίσκεται πολύ κοντά στη σκηνή του εγκλήματος κατά τον υποτιθέμενο χρόνο θανάτου του θύματος.

 

Εικόνα 3: Πηγή: //keyfindings.blog/2018/08/31/using-strava-in-law-enforcement-investigations/.

Ο αθλητής αυτός χρησιμοποιεί το πραγματικό του όνομα στο προφίλ του, γεγονός που το καθιστά εύκολο για τους αστυνομικούς ερευνητές να τον βρουν και να επικοινωνήσουν μαζί του για περαιτέρω ανάκριση και τη λήψη κατάθεσης. Οι αστυνομικοί ερευνητές καλούν τον συγκεκριμένο αθλητή για να δώσει κατάθεση και ο ίδιος παραδέχεται ότι δεν γνώριζε τίποτα για το έγκλημα αυτό.

Εντούτοις μέσα από τις ερωτήσεις των αστυνομικών ερευνητών καταφέρνει να θυμηθεί ότι την ημέρα του φόνου είχε δει ένα μικρό φορτηγό να βρίσκεται σταθμευμένο ανάμεσα στα δέντρα κοντά στη λίμνη εκείνο το απόγευμα. Σύμφωνα με τα λεγόμενα του μπόρεσε και ανακάλεσε στη μνήμη του ορισμένα στοιχεία και έτσι το φορτηγό ταυτοποιήθηκε ότι ανήκε σε μια τοπική βιοτεχνία. Ο ίδιος ο μάρτυρας αν και αρχικά αναρωτήθηκε γιατί το όχημα αυτό ήταν σταθμευμένο στο σημείο εκείνο, εντούτοις το ξέχασε και το προσπέρασε καθώς αφοσιώθηκε στο τρέξιμο του.

Το σημείο αυτό αποδεικνύεται ως κομβικής σημασία για την πορεία της αστυνομικής έρευνας. Η πληροφορία που παρείχε ο μάρτυρας ήταν ζωτικής σημασίας για την έναρξη περαιτέρω αστυνομικών ερευνών οι οποίες τελικά οδήγησαν στη σύλληψη του δράστη.

Η πεμπτουσία της ιστορίας: το OSINT πρέπει να αποτελεί αναπόσπαστο μέρος μίας αστυνομικής έρευνας. Στη προκειμένη περίπτωση, μέσα από το OSINT (θεωρητικά) ήταν δυνατό να ανευρεθεί ένας μάρτυρας ενώ οι υπόλοιποι λογαριασμοί των αθλητών που έτρεχαν στο πάρκο μέσα από την εφαρμογή της STRAVA θα μπορούσαν να αποτελέσουν περισσότερους πιθανούς μάρτυρες που ίσως οδηγούσαν στην επίλυση αυτού εγκλήματος, (αν πραγματικά αυτό είχε συμβεί).

Στη πραγματικότητα όμως, το έγκλημα στο παράδειγμα που δόθηκε δεν επιβεβαιώνεται ότι έχει συμβεί. Το ανωτέρω έγκλημα με ορισμένες τεχνικές αναζήτησης OSINT αναφορικά με την ημερομηνία, τόπος, χρονολογία, πόλη και ορισμένες λέξεις κλειδιά στη γερμανική γλώσσα δεν αναφέρεται καθόλου στο διαδίκτυο. Προκειμένου να σιγουρευτεί σε μεγαλύτερο βαθμό η αναζήτηση μου, απεύθυνα σχετική ερώτηση σε ειδικούς από όλη την Ευρώπη για θέματα OSINT στην Europol Platform for Experts όπου διαθέτω πρόσβαση. Οι απαντήσεις που έλαβα από Γερμανούς αστυνομικούς και σχετικές αναζητήσεις στις Γερμανικές βάσεις δεδομένων της εκεί αστυνομίας ήταν αρνητικές, με αναφορές ότι ενδεχομένως το άρθρο αυτό και η αναφορά στο συγκεκριμένο φόνο στο Μόναχο να μην ανταποκρίνονται στη πραγματικότητα. Αν και η περίπτωση αυτή δεν ανταποκρίνεται στη πραγματικότητα το άρθρο αυτό προσφέρει ορισμένα χρήσιμα συμπεράσματα.

O αρχικός συγγραφέας αυτού του άρθρου υποθέτω ότι ουσιαστικά κατασκεύασε την ιστορία αυτή προκειμένου να παρουσιάσει καλύτερα το θέμα των αστυνομικών ερευνών σε συνδυασμό με το OSINT. Καταλήγοντας το νόημα που αντλείται είναι ότι μέσα από την ανάγνωση αυτού του άρθρου αναγνωρίζεται η δύναμη των ανοικτών πηγών πληροφόρησης (OSINT) και πως θα μπορούσαν να εκμεταλλευτούν κατάλληλα από τις αρχές επιβολής του Νόμου σε μία αστυνομική έρευνα όπως η διαλεύκανση μίας ανθρωποκτονίας. Παρ’ όλα αυτά για να συμβεί αυτό, απαιτούνται εξειδικευμένοι αναλυτές ανοικτών πηγών (OSINT Analysts) και γνώση της μεθοδολογίας OSINT.

Μπορείτε να βρείτε το αρχικό άρθρο εδώ.

*Ο Νικόλαος Γεωργιτσόπουλος είναι Αξιωματικός της Ελληνικής Αστυνομίας και μεταπτυχιακός φοιτητής στο Εθνικό Καποδιστριακό Πανεπιστήμιο Αθηνών στη Δημόσια Ελεγκτική. Έχει παρακολουθήσει θερινές ακαδημίες ευρωπαϊκών σπουδών (Πανεπιστήμιο Μακεδονίας), οικονομικού εγκλήματος, διαφθοράς και ξεπλύματος χρήματος (Αριστοτέλειο Πανεπιστήμιο Θεσσαλονίκης), κυβερνοασφάλειας και διαδικτυακού εγκλήματος στη Χάγη της Ολλανδίας (Europol, NATO NCI Agency), Internet Technologies & OSINT (SENTER Project). Έχει παρακολουθήσει πληθώρα ημερίδων, σεμιναρίων, και συνεδρίων και έχει συμμετάσχει σε προσομοιώσεις της Βουλής των Ελλήνων, του Ευρωπαϊκού Κοινοβουλίου και του ΝΑΤΟ. Παρακολουθεί ανοικτά διαδικτυακά μαθήματα (MOOCs) από το διαδίκτυο. Τομείς ακαδημαϊκών ενδιαφερόντων του αποτελούν το διαδικτυακό έγκλημα και οικονομικό έγκλημα, τα κρυπτονομίσματα, η ανάλυση πληροφοριών μέσω ανοικτών πηγών (open-source intelligence), το αστυνομικό μάνατζμεντ, και η τρομοκρατία. Αγαπά τη δια βίου μάθηση.

E-mail: nf.georgitsopoulos@gmail.com