Les professionnels néerlandais de la sécurité de l'information sont eux aussi traçables sur Strava, il s'avère

Jusqu’au début du mois d’août 2026, le vice-amiral Peter Reesink, directeur du service de renseignement militaire néerlandais MIVD depuis février 2024, disposait d’un compte Strava public. Pendant des années, ses parcours à vélo et à la course ont été visibles par quiconque prenait la peine de regarder. À partir de ces données, les journalistes de de Volkskrant, comme l’a rapporté NOS, ont pu déterminer son adresse personnelle, l’endroit où il garait son camping-car, ses habitudes de vacances et son trajet régulier vers la Frederikkazerne à La Haye, siège du quartier général du MIVD. Cela va à l’encontre des directives de la Défense elle-même, qui existent précisément pour empêcher ce type d’information de parvenir au public. Le compte a depuis été passé en privé, et Reesink a demandé qu’il soit entièrement supprimé.

Il y a là une ironie particulière. Lors de la présentation du rapport annuel 2025 du MIVD, Reesink lui-même avait mis en garde contre le fait que la Russie devient de plus en plus audacieuse dans ses activités de renseignement. À ce moment-là, il enregistrait encore son propre trajet vers un site sécurisé sur une application que n’importe qui pouvait ouvrir.

Si cela vous semble familier, c’est que cela devrait l’être. Plus tôt cette année, un officier de la marine française aurait révélé la position du porte-avions Charles de Gaulle par le biais d’une sortie de course enregistrée sur Strava, alors qu’il faisait route vers le Moyen-Orient, selon le même reportage de NOS. L’an dernier, Omroep Gelderland a retrouvé la trace de plus de mille militaires néerlandais grâce à la même application. Et cela remonte à plus loin encore. En 2018, la carte thermique mondiale de l’activité des utilisateurs publiée par Strava a involontairement révélé les contours de bases militaires en Irak, en Syrie et en Afghanistan, ainsi que les itinéraires de patrouille qui les traversaient. Danielle Cave, analyste principale à l’Australian Strategic Policy Institute, avait alors qualifié le jeu de données ainsi obtenu de “mine d’or de renseignement en source ouverte”. Elle n’exagérait pas.

Et il s’avère désormais que plus de cinquante professionnels néerlandais de la sécurité de l’information publient eux aussi leurs sorties sur Strava, à découvert, à la vue de tous.

Strava est-il réellement un risque de sécurité ?

Oui, véritablement. Une application d’entraînement n’a pas besoin de vous nommer pour vous exposer. Il lui suffit d’enregistrer où vous commencez, où vous terminez et à quelle fréquence vous empruntez le même itinéraire. Faites cela suffisamment longtemps et les métadonnées font le reste : adresse personnelle, lieu de travail, le trajet vers l’école, la maison de vacances, la semaine exacte où vous êtes absent. C’est précisément le raisonnement qui sous-tend les directives de la Défense, et précisément ce que le compte de Reesink a rendu caduc.

Alors pourquoi Guardian360 anime-t-il un club cycliste qui fait exactement la même chose ?

Parce que ces cinquante et quelques professionnels de la sécurité de l’information sont les Cyber Cyclists, un groupe pour lequel Guardian360 organise des sorties régulières. Ils enregistrent chaque sortie sur Strava, dans un club public que tout le monde peut trouver, et les nouveaux membres sont les bienvenus. Pour être clair sur ce que c’est et ce que ce n’est pas : ce n’est pas un produit Guardian360 ni un service payant, c’est un groupe de personnes du secteur qui aiment faire du vélo ensemble, et qui se trouvent travailler dans le domaine qui passe ses journées à conseiller aux autres de réfléchir à deux fois à ce qu’ils publient en ligne.

Parce que le risque n’a jamais été l’application, mais l’inadéquation

Publier une sortie à vélo n’est pas automatiquement une faille de sécurité. Cela dépend entièrement de ce que vous protégez, et contre qui. Le directeur d’un service de renseignement militaire, dont les déplacements quotidiens sont directement liés à un site classifié et à un tableau de menaces incluant un acteur étatique que Reesink lui-même a qualifié de de plus en plus audacieux, protège quelque chose de précis et de grande valeur. Un groupe de professionnels de la sécurité de l’information se retrouvant un vendredi après-midi pour parcourir une boucle familière protège, tout au plus, son temps de sprint jusqu’au panneau du village et son classement au tableau du club. Traiter les deux cas comme un même problème, “une application a révélé une position”, passe complètement à côté de l’essentiel. L’application n’a échoué dans aucun des deux cas. Elle a fait exactement ce pour quoi elle a été conçue. Ce qui différait, c’est de savoir si quelqu’un avait réfléchi à ce que cela impliquait avant d’appuyer sur enregistrer.

C’est là la véritable leçon de l’affaire Reesink, et elle est moins satisfaisante que “supprimez l’application”. La bonne question n’a jamais été de savoir s’il fallait partager sa sortie. C’était de savoir si vous aviez réfléchi à qui regarde, et à ce que cela changerait si c’était le cas.

Les Cyber Cyclists y ont réfléchi, et c’est précisément pour cela que le maintien public de leurs données Strava n’est pas le sujet ici. Si tant est qu’il y ait un sujet, c’est plutôt tout l’intérêt du club.

Si vous travaillez dans la sécurité de l’information aux Pays-Bas et que vous avez envie de découvrir ce qu’est réellement une sortie du vendredi après-midi avec cinquante personnes partageant les mêmes centres d’intérêt, le club Cyber Cyclists sur Strava est ouvert aux inscriptions, et les nouveaux cyclistes peuvent s’inscrire via le site web de Guardian360.

Sources

• NOS, “MIVD-directeur had openbaar account op sportapp Strava, huisadres te achterhalen”, août 2026.
• Nederlands Dagblad, “MIVD-directeur had openbaar account bij Strava: activiteiten jarenlang te volgen”, août 2026.
• ABC News, “Strava has published details about secret military bases, and an Australian was the first to know”, janvier 2018.