Strava frappe encore : le jogging matinal d'un marin français trahit la position d'un porte-avions nucléaire

Si vous aviez besoin d'une preuve que la sécurité opérationnelle et les applications de fitness ne font pas bon ménage, laissez un marin français, connu seulement sous le nom d'Arthur, vous offrir l'étude de cas définitive.

Le 13 mars 2026, Arthur a attaché sa Garmin Forerunner 955, a lacé ses baskets et est parti courir. Rien d'inhabituel, si ce n'est que son terrain de jeu était le pont d'envol du Charles de Gaulle, le seul porte-avions à propulsion nucléaire de la France, qui se trouvait alors en mission militaire sensible dans l'est de la Méditerranée. Et comme son profil Strava était réglé sur public (le paramètre par défaut de l'application, au cas où vous vous poseriez la question), n'importe qui disposant d'une connexion internet pouvait voir exactement où se trouvait le joyau de la marine française.

Magnifique.

La course qui a fait la une

Les chiffres sont presque comiquement précis. Arthur a parcouru 7,23 kilomètres en environ 35 minutes, en maintenant une allure de 4:58 par kilomètre. Son itinéraire, une série d'allers-retours sur le pont d'envol de 262 mètres, a tracé un motif d'environ 300 mètres de large. Il ne faut pas être un analyste du renseignement chevronné pour regarder cette trace GPS et se dire : "Cela ressemble furieusement à quelqu'un qui court sur un très grand navire."

Les journalistes du Monde, Sebastien Bourdon et Antoine Schirer, qui ont révélé l'affaire dans le cadre de leur série d'enquêtes #StravaLeaks, ont fait exactement cela. Ils ont recoupé les données Strava avec des images satellites pour confirmer la silhouette du porte-avions. Le navire était positionné au nord-ouest de Chypre, à environ 100 kilomètres des côtes turques. Il convient de noter que si certains médias ont décrit le navire comme étant "proche de l'Iran", la réalité est qu'il se trouvait dans l'est de la Méditerranée. Il avait été redéployé vers le Moyen-Orient en réponse aux tensions avec l'Iran, mais il n'était pas directement adjacent aux eaux iraniennes.

Pourquoi c'est plus grave qu'il n'y paraît

Le Charles de Gaulle n'est pas un navire de guerre comme les autres. C'est le seul porte-avions français et le seul porte-avions nucléaire jamais construit en dehors des États-Unis. Lorsque le président Macron a ordonné à son groupe aéronaval de se redéployer le 3 mars 2026, le retirant des exercices de l'OTAN en mer Baltique qui devaient initialement durer jusqu'en mai, il s'agissait d'un mouvement stratégique majeur. Le porte-avions a franchi le détroit de Gibraltar le 6 mars, en direction de l'est de la Méditerranée dans un contexte de tensions croissantes.

Pour le contexte, un soldat français avait déjà été tué et six autres blessés lors de frappes iraniennes sur des bases françaises en Irak. Ce n'était pas une croisière d'agrément. La force opérationnelle accompagnant le Charles de Gaulle comprenait au moins trois frégates françaises, un navire de ravitaillement et des navires alliés venus d'Italie (le Federico Martinengo), d'Espagne (le Cristobal Colon) et des Pays-Bas (HNLMS Evertsen).

Et puis Arthur est allé courir et a révélé au monde entier où ils se trouvaient tous.

Une série de bévues évitables

Voici la partie vraiment déconcertante : ce n'est même pas la première fois que cela arrive. En fait, c'est la troisième fuite majeure de données militaires françaises via Strava en à peine 18 mois.

• Octobre 2024 : La même équipe d'enquête du Monde a révélé comment les données Strava pouvaient être utilisées pour suivre les déplacements des services de sécurité protégeant les présidents Macron, Biden et même Poutine.
• Janvier 2025 : Des membres d'équipage à bord de sous-marins nucléaires français ont réussi à faire fuiter des programmes de patrouille via la même application, comme l'a rapporté Euronews.
• Mars 2026 : Arthur et le Charles de Gaulle. Vous y êtes.

On aurait pu penser que quelqu'un dans la hiérarchie militaire française aurait tiré des leçons après le premier incident. Ou certainement le deuxième. Apparemment non.

Si l'on remonte plus loin, le fiasco de la carte de chaleur mondiale de Strava en 2018 avait révélé l'emplacement et la disposition de bases militaires en Syrie, en Afghanistan et à Djibouti. Le département de la Défense américain avait réagi en interdisant totalement les trackers de fitness dans les zones opérationnelles. La France, en revanche, n'a pas mis en place d'interdiction équivalente. On est en droit de se demander ce qu'il faudra pour que cela change.

La trace numérique

Ce qui rend cet incident particulièrement accablant, c'est que le profil Strava d'Arthur n'a pas seulement révélé une position unique. Son historique d'activité a effectivement cartographié l'intégralité de l'itinéraire de déploiement. Les téléchargements précédents montraient ses courses au large de Cherbourg en février, puis à Copenhague fin février alors que le porte-avions participait à des exercices en Baltique, et enfin dans l'est de la Méditerranée à la mi-mars. N'importe qui suivant son profil public aurait pu suivre les mouvements du Charles de Gaulle en temps quasi réel sur plusieurs semaines.

La méthode d'enquête du Monde était presque embarrassante de simplicité. Les journalistes ont enregistré de fausses courses dans des zones sensibles, puis ont utilisé les fonctionnalités sociales de Strava pour voir qui d'autre courait dans ces mêmes zones. L'application a essentiellement servi d'outil de renseignement en source ouverte prêt à l'emploi, sans aucun piratage nécessaire.

Il convient également de noter que le site de renseignement en source ouverte Itamilradar avait publié indépendamment des données radar montrant la position du porte-avions, et que des drones de reconnaissance français avaient été repérés sur radar volant au sud de Chypre. L'image de la sécurité opérationnelle était donc déjà un peu écornée avant que le cardio matinal d'Arthur ne vienne sceller le sort de l'affaire.

La réponse officielle

L'État-major des armées français a déclaré au Monde que la publication "n'est pas conforme aux règlements en vigueur" et que "des mesures appropriées seront prises par le commandement". Ce qui, en langage militaire, signifie que quelqu'un va se faire passer un savon mémorable.

On imagine que le commandant d'Arthur a eu quelques mots choisis. Reste à savoir si ces mots incluaient "as-tu envisagé de courir sur un tapis de course".

La vue d'ensemble

Cette histoire est drôle, d'une manière sombre et absurde, mais elle souligne un problème réellement grave qui dépasse largement le cadre militaire. Les applications de fitness, les réseaux sociaux et les services de partage de localisation collectent et diffusent des quantités astronomiques de données personnelles, souvent avec des paramètres par défaut qui privilégient l'engagement social au détriment de la vie privée.

Les profils Strava sont publics par défaut. La plupart des utilisateurs ne changent jamais ce paramètre. Et si les conséquences pour le coureur du dimanche sont minimes, pour toute personne occupant un poste sensible, qu'il soit militaire, gouvernemental ou autre, les implications peuvent être graves.

Si le jogging matinal d'un simple marin peut compromettre la position d'un porte-avions nucléaire et de toute sa force opérationnelle multinationale, il est temps de se demander ce que votre propre application de fitness diffuse discrètement sur vos déplacements.

Le verdict

L'armée française a clairement un problème avec Strava, et à ce stade, cela devient une blague récurrente. Trois fuites majeures en 18 mois, chacune plus embarrassante que la précédente, et toujours pas d'interdiction générale des trackers de fitness pendant les opérations. La technologie ne va pas disparaître. Les montres Garmin, les téléchargements Strava et tout ce qui est équipé d'un GPS font partie de la vie moderne. Mais lorsque vous manœuvrez un porte-avions nucléaire à plusieurs milliards d'euros dans une région géopolitiquement sensible, peut-être que les paramètres de confidentialité par défaut de votre application de course méritent un second coup d'œil.

Ou alors, et ce n'est qu'une suggestion, laissez peut-être votre montre connectée dans votre cabine.

Lire l'article original sur The Independent.