Como uma corrida no convés de um navio revelou o mais poderoso navio de guerra da França

Quando a sua aplicação de fitness se torna um incidente de segurança nacional

Existem muitas formas de comprometer a localização de um porta-aviões de propulsão nuclear. Pode intercetar comunicações encriptadas, utilizar vigilância por satélite sofisticada ou recrutar um espião bem posicionado. Ou, aparentemente, pode simplesmente verificar o Strava.

Um oficial da marinha francesa, referido pelo pseudónimo 'Arthur' na investigação original do Le Monde, conseguiu transmitir a posição precisa do Charles de Gaulle para qualquer pessoa com uma ligação à internet. O seu crime? Ir correr.

A corrida que abalou a Marinha Francesa

No dia 13 de março de 2026, às 10:35, Arthur calçou os ténis e partiu para uma corrida à volta do convés do porta-aviões principal da França. Percorreu pouco mais de 7 quilómetros (uma fonte aponta para 7,23 km) em cerca de 35 minutos. Não é um mau ritmo, especialmente quando a sua pista de corrida são 262 metros de aço rodeados pelo Mar Mediterrâneo.

O problema, claro, é que Arthur tinha o seu rastreador de fitness sincronizado com o Strava, a rede social adorada por corredores e ciclistas de todo o mundo. A sua atividade foi carregada publicamente, completa com coordenadas GPS que colocavam o Charles de Gaulle no Mediterrâneo oriental, a noroeste de Chipre e a aproximadamente 100 quilómetros da costa turca.

O Le Monde, o jornal francês que deu a notícia, foi mais longe e cruzou os dados do Strava com imagens de satélite tiradas pouco depois da corrida. As coordenadas coincidiam perfeitamente. Tanto pelo segredo operacional.

Porque é que isto importa mais do que pensa

Não se tratava de um cruzeiro rotineiro em tempo de paz. O Presidente Macron tinha anunciado a missão do porta-aviões a 3 de março de 2026, apenas dias após o início dos ataques dos EUA e Israel contra o Irão. O Charles de Gaulle, que transporta caças Rafale, aeronaves de alerta antecipado e helicópteros, dirigia-se para a região como parte de uma força-tarefa que inclui três fragatas e um navio de abastecimento. Tinha sido retirado de exercícios da NATO no Mar Báltico, onde estava programado para operar até maio.

Por outras palavras, tratava-se de uma missão de alto risco e estrategicamente sensível. Saber a localização exata de um grupo de ataque de porta-aviões é o tipo de inteligência que nações hostis investem normalmente recursos enormes para obter. Arthur entregou-a de graça, entre o recorde pessoal de alguém num parkrun e uma volta de ciclismo de domingo de manhã.

Arthur não estava sozinho

Para piorar a situação, a investigação do Le Monde descobriu que pelo menos um outro membro da tripulação a bordo do Charles de Gaulle também partilhava atividades de fitness geolocalizadas online. Esse indivíduo terá publicado não só dados de exercício, mas também fotografias do convés do navio, imagens de colegas marinheiros e fotos de equipamentos a bordo. É o tipo de pegada digital que qualquer analista de inteligência consideraria um presente absoluto.

O Estado-Maior das Forças Armadas Francesas respondeu com uma declaração confirmando que a atividade violou as regras de segurança digital, observando que 'medidas apropriadas serão tomadas pelo comando'. Imagina-se que essas medidas envolvam uma conversa bastante severa e talvez uma nova apreciação por treinos offline.

Um problema que continua a regressar

Aqui está a parte verdadeiramente desconcertante: esta não é, de perto, a primeira vez que o Strava causa uma dor de cabeça de segurança militar. A saga dos chamados 'StravaLeaks' dura há quase uma década e os militares franceses já foram apanhados antes.

O momento decisivo ocorreu em 2018, quando o Strava publicou um mapa de calor global mostrando a atividade agregada dos seus utilizadores. Investigadores detetaram rapidamente que o mapa de calor brilhava como uma árvore de Natal à volta de instalações militares no Afeganistão, Iraque e Síria, revelando efetivamente o layout de bases que deveriam ser secretas. O Departamento de Defesa dos EUA respondeu proibindo aplicações de rastreio de fitness em áreas operacionais nesse mesmo ano.

A França, evidentemente, não seguiu o exemplo com o mesmo entusiasmo.

Em 2020, investigadores conseguiram identificar 14 membros do SAS na sua base ultrassecreta em Hereford através de perfis do Strava. Em 2022, uma investigação separada expôs cerca de 100 indivíduos ligados a seis locais militares israelitas classificados através da aplicação. E em janeiro de 2025, pouco mais de um ano antes do incidente do Charles de Gaulle, submarinistas da Marinha Francesa partilharam informações de patrulha através do Strava, no que as autoridades descreveram diplomaticamente como 'negligência do pessoal'.

Como o site de cibersegurança Cybernews colocou no seu título: 'Strava expõe tropas francesas... outra vez'. A este ponto, é menos uma falha de segurança e mais uma tradição.

A tensão entre a tecnologia pessoal e a segurança institucional

Existe aqui uma lição genuína que se estende muito para além dos militares. Vivemos numa era em que os nossos dispositivos transmitem constantemente as nossas localizações, hábitos e rotinas. A maioria de nós aceita este compromisso voluntariamente porque queremos seguir os nossos tempos de 5 km ou partilhar as nossas caminhadas de fim de semana. Mas o incidente do Charles de Gaulle é um lembrete forte de que os dados de localização, mesmo de algo tão inócuo como uma corrida matinal, podem ter consequências muito além do que pretendemos.

Para o pessoal militar, os riscos são obviamente extremos. Mas para os utilizadores comuns, vale a pena pensar no que a sua aplicação de fitness revela sobre os seus padrões. Quando sai de casa, quando regressa, as suas rotas habituais, os períodos em que está fora da sua propriedade. Perseguidores, assaltantes e todo o tipo de pessoas mal-intencionadas podem juntar uma quantidade preocupante de informações a partir de dados de atividade partilhados publicamente.

O Strava oferece controlos de privacidade. Pode definir o seu perfil como privado, criar zonas de privacidade à volta de locais sensíveis e desativar a partilha de GPS. O problema é que estas definições exigem esforço ativo, e o incentivo padrão de qualquer plataforma social de fitness é a partilha. A partilha é o que impulsiona o envolvimento, afinal.

O que acontece a seguir?

Os militares franceses não deram qualquer indicação sobre que ação disciplinar específica Arthur enfrentará, além da promessa ominosa de 'medidas apropriadas'. Dada a escala do constrangimento, suspeita-se que isto será levado a sério nos níveis mais elevados.

A questão mais ampla é se este último incidente levará finalmente a uma proibição abrangente de aplicações de rastreio de fitness durante missões ativas em todas as forças da NATO. Os americanos tomaram essa decisão em 2018. Os militares britânicos apertaram as suas diretrizes ao longo dos anos, especialmente após as revelações do Strava sobre o SAS. A França, apesar de incidentes repetidos, parece ter confiado em diretrizes e bom senso em vez de uma proibição total.

O bom senso, como Arthur demonstrou, nem sempre é distribuído de forma uniforme.

O Veredito

Esta história seria engraçada se as implicações não fossem tão sérias. Uma única aplicação de fitness não segura transmitiu a localização de um porta-aviões de propulsão nuclear durante uma missão sensível a qualquer pessoa que quisesse ver. A tecnologia para evitar isto existe. As políticas para evitar isto existem. O que parece faltar é fiscalização e, francamente, consciência digital básica entre o pessoal que deveria saber melhor.

Se há um lado positivo, é que a fuga de informação foi detetada por jornalistas em vez de um serviço de inteligência hostil (ou pelo menos, esperamos que tenha sido detetada por jornalistas primeiro). Mas confiar na sorte não é uma estratégia de segurança. Até que os militares tratem os dispositivos pessoais como o risco de segurança operacional que claramente são, continuaremos a ver estas histórias. E o Strava continuará a acumular o tipo de publicidade que a sua equipa de marketing definitivamente não pediu.

Leia o artigo original em fonte.