Famosos, no famosos y terroristas publican en Twitter su ubicación GPS. ¿Lo haces tú?

Desde que los smartphones vienen con GPS integrado, casi cualquier servicio que se precie en Internet tiene la opción de añadir la geoposición de dónde estás y añadirla como metadatos de la interacción con él. De esta forma, sin casi saberlo, estás dejando tu ubicación. En el caso de Twitter en concreto, las posibilidades de dejar un rastro de tu posición son muchas, ya que los mensajes a veces son enviados desde otras aplicaciones que también pueden ayudar a al filtrado de tu información GPS, lo que lo convierte en una fuente de información fantástica para localizar personas.

Figura 1: Famosos, no famosos y Terroristas publican twitts con ubicación GPS

A veces la información viene directamente desde la propia aplicación. Twitter tiene una opción en la que puedes registrar los mensajes con la ubicación GPS en la que te encuentras. Esto le ocurrió a este Terrorista de Nueva Zelanda, que tras darse cuenta de su craso error decidió borrar todos los mensajes. Pero ya era tarde, la filtración se había producido y tendría que vivir con ello.

Figura 2: Los mensajes del terrorista con ubicación GPS activada

No hay que irse a casos tan remotos para encontrar personas que tienen este mismo problema. En Eleven Paths creamos una pequeña Prueba de Concepto que se conecta al Timeline de una cuenta Twitter, se descarga los últimos 200 mensajes publicados y busca en ellos la ubicación GPS. Las sorpresas que nos hemos llevado son grandes, ya que famosos y no tan famosos dejan sin querer esta opción activada.

Figura 3: PoC de Eleven Paths para sacar ubicación GPS de Timeline de Twitter

No voy a dejar el nombre de quién es cada uno de los mapas, pero como se puede ver, sabiendo la ubicación desde la que más se ponen mensajes en Twitter, analizando las horas, y el contenido de los mismos, es posible no solo saber dónde está a una hora, sino si es una ubicación personal, laboral, o casual de una determinada persona.

Figura 4: Se puede ver en qué ubicaciones se ponen más mensajes en Twitter y a qué horas

Mucha gente no lo hace por descuido, sino porque es un amante de estos servicios. En el caso de Steve Wozniak es posible ver que casi todos sus twitts tienen activada la ubicación. Solo los que realiza desde su equipo personal, y no desde el smartphone, van sin estos datos.

Figura 5: Twitts de Steve Wozniak con GPS en su paso por Madrid

Quiero recalcar, que existen herramientas para falsificar la ubicación GPS - como ya vimos con el caso de Stamphoto, y que además los mensajes en Twitter se pueden programar, con lo que alguien podría falsear su vida tranquilamente, tal y como explicó Yago Jesús en "cómo crear la coartada tecnología perfecta". Para comprobar que la información que se ha obtenido es veraz, habría que convertir estos indicios en pruebas con trabajo de campo.

Hay muchas herramientas que hacen justo lo contrario, y preguntan al API de Twitter por cuentas que estén publicando mensajes en una determinada ubicación GPS, con lo que se puede saber quién vive cerca de ti, o está twitteando (o poniendo mensajes geo-localizados en Facebook) en un determinado lugar. Esto es lo que aprovechó el juego Watchdogs para hacer esta promo de la ciudad de Londres, París y Berlín, pero con apps puedes verlo en cualquier sitio.

Figura 6: We Are Data en Londres de Watchdogs

No solo de la ubicación GPS asociada a los twitts es de donde se puede extraer información de una cuenta Twitter. También de las fotografías que se publican y los metadatos. Muchos son los ejemplos vistos en el pasado en el que se utiliza la ubicación GPS de fotografías para localizar personas - como al señor McAffe cuando estaba en fuga - y hay herramientas como Cree.py que se conectan al Timeline de una cuenta, se descargan todas las fotografías y extraen de ellas el metadatos asociados a la ubicación GPS, además de hacerlo también con los enlaces a fotografías, info GPS del twitt y mensajes de FourSquare, y también de cuentas Flickr e Instagram.

Figura 7: Creepy para OS X con plugins para Twitter, Flickr e Instagram

Esta fuga de información se produce cuando es la cámara del smartphone la que tiene permitido el acceso al GPS y graba en cada fotografía ese dato. Después, cuando se publica, se filtra sin querer ese dato y se puede extraer la información GPS asociada al mismo. Por supuesto, mucho más sencillo es cuando las personas van publicando donde están con servicios como FourSquare, en el que hacen Checkin. De nuevo, Steve Wozniak como ejemplo que era un usuario activo de este servicio, se puede ver que Cree.py obtiene estos datos para hacer el seguimiento de la ubicación.

Figura 8: Mapa de ubicaciones creado con twitts de FourSquare

Al final, publicar tu ubicación como parte de los metadatos de un servicio puede ser bueno o malo, dependiendo de lo que tu quieras, pero lo que realmente es malo es que los publiques sin saber que los estás publicando.

Actualizado: Como han comentado por Twitter, la herramienta TinfoLeak de Vicente Aguilera puede ayudar a analizar una cuenta para sacar información de ubicaciones. En el siguiente vídeo tienes un ejemplo de uso:


Figura 9: Tinfoleak de Vicente Aguilera
Si quieres borrar la información GPS de los tweets que has publicado, aquí tienes cómo hacerlo.

Saludos Malignos!