士兵用运动 APP 公开自己跑步路线这事儿又翻车了。英国媒体 Sky 新闻前一阵挖了一个大瓜，说是挖出了超过 1300 名 Strava 用户在美军基地内公开上传自己的运动轨迹。而这些公开数据，理论上可能成为伊朗的情报，被拿来炸美军基地。
甚至其中一些运动轨迹，真就恰好能对应上伊朗的攻击位置，很难让人不产生联想。
01 跑个步，军事基地的细节就被 “炸” 出来了？
Strava 是一个海外很火的运动社交 APP，对于运动爱好者来说很好用，也有很强的社交属性。而它的主要功能之一就是记录并上传各种运动路线，甚至有一些人会用它一边跑步、骑行，一边用轨迹在地图上绘制图案。
那么，英国 Sky 新闻的调查记者是怎么用它来调查美军的？
“核心出装” 不需要什么黑客技术，因为 Strava 的部分用户自己就把最关键的信息放在网上了，也就是位置、时间、身份。所以调查就是把大量线索交叉筛选，从公开的资料入手，把用户个人主页、社交媒体、跑步路线、时间串联起来。
就这样调查团队挖出了 1300 多名在中东美军基地发布运动记录的用户，甚至一些没有公开标注的军事设施，其中大多数人使用软件的时候还用了真实姓名。然后通过这些用户的活动记录对比，分析出他们谁是美军士兵，在基地什么时候活动，如果撤离会去哪里，以此来推理出一个基地的运转节奏。
简单来说，如果你知道这人是美军的身份，那么他固定跑步的位置有可能就是训练场地，和他跑相近路线的人可能也是军队里的人。如果你知道基地的位置，那么就能根据附近大量的运动轨迹，筛选出来哪些用户可能和美军有关。就这样把线索交叉组合起来，就可以进一步猜测出基地内部的情报。
那伊朗真是用这批数据打了美军基地吗？现在没有任何一方实锤伊朗利用过这些数据，只不过如果照着这些公开轨迹打，那确实也能打中。
其中一个比较抽象的记录是巴林的一处基地。
这个基地在双方开打后受到了伊朗的轰炸，但在轰炸前，内部人员其实就已经撤离到附近的酒店了，然而后来那个酒店也被炸了。英国的记者就很好奇，伊朗怎么知道美军跑到附近酒店的？情报来源当然有很多可能，但他们把目光放到了 Strava 的用户上，没想到还真有 “线索”。
英国媒体的调查人员确认了一位 Strava 用户是美国海军承包商，发现没打仗的时候他经常绕着基地跑步。打仗后，他突然更新了一个新的跑步路线，位置换到了附近酒店的庭院，而他更新 6 天后这个酒店也遭到了伊朗袭击。
因此调查人员推断，很有可能伊朗的情报部门也观察到了这类账户，由此 “追着打”。
另一种情况，是通过一群人的跑步轨迹，分析人都在基地的什么位置。
例如约旦的基地，这里一直有数百条打卡记录，2 月底开战后基本都暂停了。4 月停火又恢复了，但相比之前比较分散的跑步轨迹，之后 76% 的路线起点或终点都集中在了同一处营房。后来双方又开火了，7 月伊朗直接攻击了这片位置，炸死 3 名美军。
对这次 “泄密” 的怀疑，大家都什么态度？
Strava 本身就有隐私设置，也呼吁用户多注意自己的身份，别乱开位置，实在不行就把定位关了吧。美方五角大楼表示，这事儿我不管了，你问问美国中央司令部吧。
一些军事专家对此表示无语，也有观点认为伊朗当然有可能使用这些数据。毕竟现代军事情报分析是多种情报汇聚的，尤其是这种唾手可得的公开信息，简直不用白不用。
而让专家真正担忧的，是现在可以用低成本，推理出军事情报中的 “生活模式（pattern of life）”。
通常来说就是靠多种维度的信息来摸清目标的「日常」，一旦打破规律，出现异常，就形成了进一步的情报。
同理就是利用网络上的公开信息，摸清某个区域中网友的日常情况与规律，如果出现反常的情况，就可能是有价值的情报。就像是巴林那个突然换酒店继续跑步的军方老哥，突然换了位置，那可能就是他们集体换了聚集地。
其实原本把这套 “生活模式” 当成看家本领的，正是美军情报系统自己，以前多用在伊拉克、阿富汗战争，算是祖传手艺。但那时候成本显然高多了，想搞点信息恨不得卫星、侦察机、通讯监听、监视人员、相关技术人员等等全用上。
而现在相比影视剧里找一群黑客小队干活，上网扒 Strava 的公开数据显然成本更低一些。比较地狱笑话的是，美军的敌人可能不会用 Strava 记录自己的运动日常，但美军自己用得比较多。
想象一下，在中东沙漠，竟然能找到出一群围绕固定设施跑步运动的实名欧美用户，他们在那里干什么呢？
真的好难猜啊！
离谱的是，整件事确实算得上是在炒冷饭了。因为用 Strava 找美军基地这事儿，2018 年就闹过一次大新闻。
Strava 在 2017 年上了一张 “全球热力图”，也就是用户近两年左右的运动轨迹信息大汇总。
但 2018 年，澳大利亚国立大学国际安全专业的一个小伙 Nathan Ruser 发现了问题，他开始拿这张图找 “美国大兵”。
而且方式也很简单，虽然热力图是匿名的，但不少军事基地都设置在人口稀少而且少有当地人用运动 APP 的地方。所以当一些敏感地区大面积空白但是只有某部分很亮，就很值得怀疑了。
顺着这个思路他在叙利亚找到了美军基地，并且说它们 “像圣诞树一样亮了起来”。
当年这一发现引发了轩然大波，其他分析师、媒体记者跟着这个思路就扒出了一串全球各处军事基地的位置。
后来美国军方对此事的反应就是，考虑了半年多后，出了一个禁令，到了作战区域，电子设备、APP 这些东西的定位功能都要关掉。
换言之，相关禁令已经存在八年，为什么 2026 年还会发生类似的事儿？
02 不光是管不住，也是真的离不开
多年来没法彻底解决这个问题，原因其实挺复杂的，例如美军现在很难对电子设备进行完善的控制。
有人觉得简单处理，别在打仗的时候玩手机、智能手表之类的就好了，但实际上很难做到。其实这类限制，不光 2018 年下过，去年 12 月、今年 2 月，都出过相关的限制措施，问题是到现在都没法彻底杜绝。
7 月美国军方还表示考虑收缴手机，但也只是考虑一下，还没完全执行。而且之所以有这个考虑，涉及的问题也不是针对某一款 APP 的使用，主要是电子设备还在泄露其他的东西。
像是本来伊朗被美军电子干扰和其他操作干预后，其实并没法确认自己的袭击战果，但却可以在网上搜索到相关视频。围观群众加上士兵自己拍点一手消息，然后媒体报道，军事专家上阵分析，伊朗信息部门只要上个网就能免费判断自己的行动是否成功。
甚至有美军戴着智能眼镜，拍下了士兵躲避袭击的画面，直接发到社交媒体，这相当于暴露了人员的撤退方向与过程。
谁懂啊家人们，又要撤离了
就算把禁令执行下去，本身也很难覆盖所有人。
一方面是执行任务的情景和日常时期肯定有差别，高密地区当然可以要求所有人严格管理电子设备，但还有很多海外基地的人员构成就复杂多了，包括大量承包商、文职人员，家属，统一执行难度很大。最难解决的还有基地内部人员需要与家人保持联系，如果长期禁用手机，搞不好会藏匿设备，风险更不可控。
而且有时候美军自己也会整活儿，给自己挖坑。十多年前，美军为了搞 “健身减肥” 试点项目，推广过运动手环 Fitbit 。而当 2018 年 Strava 全球热力图事件爆发后，大家发现 Fitbit 这类运动设备的数据也同步到了 Strava，出现在了热力图上。
因此美军当时多少有点尴尬，国防部副部长 Patrick Shanahan 还公开自嘲说 “我有罪，因为上周之前我一直戴着 Fitbit”。
而另一方面，Strava 也确实让人欲罢不能。
路线、排名、挑战、头衔等等机制，作为运动社交平台，其设计逻辑、激励机制、社区氛围，都会让用户更愿意公开自己的运动信息，参与其中。只不过不同身份，影响不同，对于普通爱好者自然没问题，军事人员却把这个社交行为带进了特殊环境。
其中一部分人表现得像是没法控制自己，明知身份特殊却根本把持不住，而且不仅仅是美军这样。
例如在英美共用的迪戈加西亚战略基地，有 Strava 用户明知道这是极度敏感区域，依然公开上传了跑步轨迹，甚至把跑步路线直接命名为 “安全漏洞” ，贴脸开大。
另外根据英国媒体调查，自 2026 年 1 月以来，共有 519 名英国军方以及相关人员，在限制区域内公开上传了运动轨迹。在核潜艇基地，甚至能精确识别出谁被部署在哪艘潜艇上，进一步还能找到家属的信息。还有在英国弹道导弹早期预警站，也识别出了工程师。
英国的情报人员看完表示 “离谱到可笑”。
法国也翻车多次了。今年 3 月，一名法国海军把戴高乐号航母当跑步机，在甲板用智能手表在 Strava 记录了约 7 公里的跑步轨迹。因为他的账号设置是公开的，结果相当于把航母的位置也公布了出去。
海王的地中海运动日常
2025 年，法国的核潜艇基地，还因为士兵玩 Strava 泄露过潜艇的巡逻节奏。
按理说核潜艇驻地安保要求都很高的，说是进出都看证件，人脸识别军犬巡逻，而且很多区域都是禁止携带手机等电子设备的。
结果还是被挖出问题了。
调查人员把漏洞定位到了智能手表上，有法国军官说它更容易通过安检，甚至可能被带上潜艇。而 Strava 的数据更是方便分析基地的一些情报细节，调查中先是挖出这个区域数百名活跃用户，再从核潜艇相关码头位置进一步筛选，就可以识别出部分能上潜艇的军事人员。
接着根据他的打卡记录分析，像是有人平时运动记录非常规律，却在某一天突然停止更新，空白近两个月后才重新活跃。与此同时，另外几个同样在码头附近跑步的人，也在同一时间段消失，再差不多一起回归。媒体据此推断，这段空白期极有可能对应着一次核潜艇巡逻任务。
这类问题显然是反复发作的老毛病了，以前类似报道出来，各方还会说 “没什么大事儿”。但现在回头再看，在战争背景下，相关基地真实遭到了袭击，就有点不一样了。
而且，大多数人根本意识不到信息泄露有多简单。现代人的生活早已离不开电子设备，就算狠下心来禁用了某一个 APP，也挡不住其他渠道的信息外流。
03 什么都没做，但可能已经 “泄密” 了
其实多年以来，美军一直在面对信息泄露的问题。哪怕他们从不在社交媒体上传定位，只是日常使用手机，位置信息一样可能被找出来。“人人都能购买追踪美军士兵数据” 这件事，也算是个老话题了。
简单来说，一些 APP 通常会植入各种功能的第三方软件开发工具包，它们当中有些会收集广告 ID、位置信息、设备信息等数据。而收集这些信息，其中一个重要用途就是服务于广告业务。例如加工处理后形成用户画像，再根据这些画像决定投放什么广告。广告工具与流程一般都是正规的，但问题出在数据的其他流向。
有些数据中间商会把这些数据进一步加工，有时还经过好几层中介倒手，解析、重新打包，再对外出售。海量资料里如果能够特意筛选出具有身份特征的标签，那就更具价值，比如美军士兵这种。
也就是说，广告技术无意中建立了一套非常像 “监控” 的连招，而在信息市场上直接购买美军使用 APP 时流出的位置数据，也并不是新鲜事。
这事儿美国媒体也是反复念叨好几年了。杜克大学的研究员在 2021 年就把这类情况，从个人隐私联想到了军事机密问题，并做了调查，当时就发现有数据中间商公开兜售美国现役或者退役军人的数据。
当然，用途也都说是可以用来打广告。
美军被认为属于特殊消费群体，可以分析出对应的消费偏好，购物渠道、消费结构等等。
2023 年，杜克大学的调查测试进一步发现，无论美国本土买家还是境外买家，都能买到美军士兵的信息数据，甚至可以跳过卖家的身份验证。
到了 2024 年，媒体的报道论调就更惊悚了，号称 “任何人都能买到美军数据”。
调查报道发现，其中一家数据中间商手里有 36 亿条坐标，从中可以识别出上万台驻德美军相关的设备。这些设备的轨迹至少出现在德国 11 处军事情报地点周围。如果进一步分析，还能还原出基地的入口、安保流程等信息。涉及的位置包括空军基地、训练场、兵营、情报中心，甚至军人子女就读的中小学。
虽然这些坐标并不精确，但架不住量大。比如在多个高度敏感的军事区域之间，筛选出那些反复出现的设备，就相当于把一些重要岗位人员的行踪曝光了。
但直到今年 5 月，美国军方才总算是承认受到威胁了。
有媒体报道说，美国中央司令部 “收到多份威胁报告，内容为对手利用商业位置数据，对战区内美军人员实施锁定与监视”。
然而问题是美军 10 年前，早就知道能这么玩了，这种调查方式也被戏称为 “广告情报”。
2016 年，就职于美军承包商 PlanetRisk 的 Mike Yeagley，就给当时的美军演示过一模一样的操作。
当时他受美国资助，买了一批商业手机位置数据，用来开发情报工具卖给美国官方。
结果发现买的这批数据里，竟然能挖出美军在叙利亚的秘密前沿基地。于是他就向美国军方做了简报，先拿武装分子的行动轨迹举例，证明这套方法的有效性，然后又展示了如何追踪美军自己。
他还原了美军从美国驻地移动到空军基地，再出发经过土耳其，最终汇聚到在叙利亚尚未公开的秘密基地的活动轨迹。演示结束后，军方还以为他用黑客手段黑进了系统拿到了绝密数据，而他只回了一句 “花钱买的。”
后来 Yeagley 接受采访时感叹，“现在和十年前一样，没什么改变。”
当然，也不是完全没人提该怎么防。比如提议军队发放的设备禁用广告 ID、在战区自动关闭位置共享、对销售端增设更多限制等等。多年来美军对于这些问题的回复，一般也都是 “不足以泄密”，要么就说要求军人自律一点就行了。
不过也别说 “什么都没改变”，因为美军自己也会买点数据给自己用。
早在 2020 年，就有报道说美国特种作战司令部直接花了 9 万多美元，购买了一款 “商业位置追踪软件” Locate-X。它不用自己去收集分析，而是直接从数据商人那里买结果。后来还有媒体曝光，美军执行无人机打击任务的相关团队也在采购这类业务。
你买我的，我买你的，军事 “泄密” 这事儿，到现在多少有点打破滤镜了，门槛也确实在不断下降。以前想象中获取点机密情报，就如同 007 的电影桥段，天上飞卫星，地上跑特工，谁能想到后来买点 APP 数据包就开始全球追踪了。
再到今年更抽象了，本来以为现代战争会更科幻，结果现实是，情报还可以是对手晨跑后自愿上传的。
