Afinal, os profissionais de segurança da informação neerlandeses também podem ser rastreados no Strava

Até ao início de agosto de 2026, o vice-almirante Peter Reesink, diretor do serviço de informações militares neerlandês MIVD desde fevereiro de 2024, tinha uma conta pública no Strava. Durante anos, os seus percursos de ciclismo e de corrida estiveram visíveis para quem se desse ao trabalho de olhar. A partir desses dados, os jornalistas do de Volkskrant, segundo noticiou a NOS, conseguiram descobrir a sua morada, onde estacionava a autocaravana, os seus padrões de férias e o trajeto habitual até à Frederikkazerne, em Haia, sede do quartel-general do MIVD. Isto vai contra as próprias diretrizes da Defesa, que existem precisamente para impedir que este tipo de informação chegue ao público. A conta foi entretanto colocada como privada, e Reesink pediu que fosse totalmente apagada.

Há aqui uma ironia particular. Na apresentação do relatório anual de 2025 do MIVD, o próprio Reesink alertou que a Rússia está a tornar-se cada vez mais descarada nas suas atividades de espionagem. Nessa altura, continuava a registar o seu próprio trajeto para uma instalação segura numa aplicação que qualquer pessoa podia abrir.

Se isto te soa familiar, é porque devia. No início deste ano, acredita-se que um oficial da marinha francesa tenha revelado a localização do porta-aviões Charles de Gaulle através de uma corrida registada no Strava, enquanto este seguia rumo ao Médio Oriente, segundo o mesmo relatório da NOS. No ano passado, a Omroep Gelderland rastreou mais de mil militares neerlandeses através da mesma aplicação. E a coisa vem de mais atrás. Em 2018, o próprio mapa de calor global da atividade dos utilizadores do Strava revelou inadvertidamente os contornos de bases militares no Iraque, na Síria e no Afeganistão, juntamente com as rotas de patrulha que as atravessavam. Danielle Cave, analista sénior do Australian Strategic Policy Institute, chamou na altura ao conjunto de dados resultante uma “open source intelligence gold mine”. Não estava a exagerar.

E agora vem a saber-se que mais de cinquenta profissionais de segurança da informação neerlandeses também publicam os seus passeios no Strava, à vista de todos, para quem quiser ver.

O Strava é realmente um risco de segurança?

Sim, a sério. Uma aplicação de treino não precisa de te identificar pelo nome para te expor. Basta-lhe registar onde começas, onde terminas e com que frequência fazes o mesmo percurso. Faz isso durante tempo suficiente e os metadados encarregam-se do resto: morada, local de trabalho, a ida à escola, a casa de férias, a semana exata em que estás fora. É precisamente este o raciocínio por trás das diretrizes da Defesa, e precisamente aquilo que a conta de Reesink tornou irrelevante.

Então porque é que a Guardian360 mantém um clube de ciclismo que faz exatamente a mesma coisa?

Porque esses mais de cinquenta profissionais de segurança da informação são os Cyber Cyclists, um grupo para o qual a Guardian360 organiza passeios regulares. Registam todos os passeios no Strava, num clube público que qualquer pessoa pode encontrar, e novos membros são bem-vindos. Para ser claro sobre o que isto é e o que não é: não é um produto da Guardian360 nem um serviço pago, é um grupo de pessoas do setor que gostam de andar de bicicleta juntas, e que por acaso trabalham na área que passa os dias de trabalho a dizer às outras pessoas para pensarem duas vezes sobre aquilo que publicam online.

Porque o risco nunca esteve na aplicação, esteve no desajuste

Publicar um passeio de bicicleta não é automaticamente uma falha de segurança. Depende inteiramente daquilo que estás a proteger, e de quem. O diretor de um serviço de informações militares, cujos movimentos diários estão diretamente ligados a uma instalação classificada e a um cenário de ameaça que inclui um ator estatal que o próprio Reesink classificou de cada vez mais descarado, está a proteger algo específico e de elevado valor. Um grupo de profissionais de segurança da informação que se junta numa sexta-feira à tarde para fazer uma volta conhecida está a proteger, quando muito, o seu tempo de sprint até à placa da aldeia e a sua posição na tabela do clube. Tratar os dois casos como o mesmo problema, “uma aplicação revelou uma localização”, é falhar completamente o essencial. A aplicação não falhou em nenhum dos casos. Fez exatamente aquilo para que foi construída. O que diferiu foi se alguém tinha pensado sobre o que isso significava antes de carregar em guardar.

Essa é a verdadeira lição da história de Reesink, e é menos satisfatória do que “apaga a aplicação”. A pergunta útil nunca foi se devias partilhar o teu passeio. Foi se tinhas pensado em quem está a observar, e porque é que importaria se estivesse.

Os Cyber Cyclists pensaram nisso, e é precisamente por isso que o facto de os seus dados de Strava permanecerem públicos não é a notícia aqui. Se alguma coisa, é essa mesmo a ideia do clube.

Se trabalhas em segurança da informação nos Países Baixos e te apetece descobrir como é realmente um passeio de sexta-feira à tarde com cinquenta pessoas com os mesmos interesses, o clube Cyber Cyclists no Strava está aberto para adesão, e os novos ciclistas podem inscrever-se através do site da Guardian360.

Fontes

• NOS, “MIVD-directeur had openbaar account op sportapp Strava, huisadres te achterhalen”, agosto de 2026.
• Nederlands Dagblad, “MIVD-directeur had openbaar account bij Strava: activiteiten jarenlang te volgen”, agosto de 2026.
• ABC News, “Strava has published details about secret military bases, and an Australian was the first to know”, janeiro de 2018.