由喝啤酒引发的军事情报人员信息泄露

Untappd是一款啤酒评级应用，目前已拥有超过800万的用户，其中大部分都是欧洲和北美地区的用户。最近根据研究人员的发现，Untappd所提供的功能将允许他们获取全球军事情报人员的敏感信息以及地理位置。

是的，你没看错，一款啤酒评级应用竟然可以用来追踪军事人员的位置历史。

对于军事情报人员来说，无论是喝啤酒还是使用社交网络，这些其实都不具备多少新闻价值。但是Untappd会记录用户数百个，甚至是数千个带有时间戳的地理位置数据信息，这些位置信息会被按类划分成超过900种类型，并且同时具备多样性和准确性，比如说记录会标明“植物园”、“脱衣舞俱乐部”、“同性恋酒吧”、“西乌克兰餐厅”和“机场”等等。该应用程序还允许任何人追踪其他用户在敏感地点之间的活动轨迹，并了解他们最喜欢的酒吧、酒店、餐厅、社区，甚至还可以了解到用户的居住地址。

比如说，在Untappd的帮助下，我们可以追踪一名美国无人机驾驶员，以及他所到访过的国内和海外军事基地名单。我们还可以追踪一名海军军官，了解到他进出过五角大楼多少次，甚至还可以追踪美国国防部和美国空军的高级官员等等。

通过对这些数据和其他社交媒体信息进行交叉对比，就能够轻松找到这些用户的家庭住址，并通过查看个人资料和照片来了解到目标用户的家人、朋友和同事。

目前，研究人员还无法确定受这种功能影响的用户总数数量，但像军事基地这样的敏感地点，我们很容易就能够识别出数百名具有特殊特征的用户。

下面给出的是Untappd的位置页面以及用户的地理位置历史记录样例，左边的是拉姆斯坦空军基地的地理位置页面，显示了近600名独特的访客，他们总共记录了2600瓶啤酒。在右边，我们看到了一个用户在阿富汗旅行时的一小部分签到记录，显示了他访问美国驻喀布尔大使馆酒吧等地方。

第一眼看过去，可能你会觉得Untappd的数据似乎毫无用处，因为它的位置数据并不严格，这意味着用户可以自由地在60英里以外的位置进行签到。在人口较多地区的知名景点，这是一个问题。例如，美国国家安全局和军情六处总部有许多用户在附近进行签到，但他们很可能不在这些大楼内。

不过，Untappd的搜索功能只能列出酒店、酒吧和餐馆等场所。比如说，我们无法直接搜索类似“政府大楼”或“军事基地”等标记位置。更复杂的是，一个位置可以有多个页面，它的子位置也可以有页面，这使得我们很难去评估总共有多少用户在某个位置签到过。

考虑到上述这些问题，人们如何才能找到敏感的政府地点以及实际访问这些地点的个人？

通过研究后我们发现，当当用户喝啤酒时，他们可以通过拍摄饮料的照片并记录他们的位置以及日期和时间来在Untappd上签到。搜索一个位置只会找到酒吧、餐馆和商店。然而，一旦你签到了一瓶啤酒，Untappd将允许我们选择更多的地点。

各个位置都有自己的配置文件，其中显示了已在此位置签到的所有用户，以及签到的日期和时间。这些位置是从Foursquare的应用程序编程接口（API）中提取的，并且是高度分类的。搜索军事地点不会产生结果，然而通过寻找军队成员的签到记录，你可以找到其他军事地点。

我们以Camp Peary为例，这是一个美国军事保留基地，官方称之为武装部队实验性训练活动基地，这是一个专门为中央情报局（CIA）和国防情报局（DIA）人员提供训练设施的地方，并拥有一个简易机场。

通过在Untappd上搜索Camp Peary，我们可以看到如下所示的信息：

如果我们在Foursquare和Untappd上导航Camp Peary的位置，我们可以验证这两个应用程序都没有将其注册为位置。

但是，如果我们直接在Foursquare列表中搜索“Camp Peary”，会得到以下结果：

注意，Foursquare现在为Camp Peary提供了一个结果（尽管位置不包括有用的信息）。我们还可以看到，Camp Peary的位置已经显示在Foursquare的地图视图中，在我们之前的搜索中，该视图仍然是空白的。

更有趣的是，Foursquare显示了Camp Peary，而Untappd则没有。记住，Untappd使用了Foursquare来获取所有场馆信息。Untappd似乎在搜索结果中隐藏了一些位置类别，包括“军事基地”。

重要的来了，我们可以在Untappd中搜索实际的啤酒，当用户签到他们的啤酒时，Untappd将能够使用他们的设备位置来给其他用户推荐签到位置。如果我们到Camp Peary附近签到，那么Untappd将会记录Camp Peary的位置。

完成“签到”将把啤酒记录在你的时间表上，同时还有一个链接到Camp Peary的页面。在Camp Peary的页面上，我们可以找到已经在那里登记的用户的时间线，以及与该位置相关的照片。

确定用户是否真的在其签到位置的最佳方法是查看用户在那里拍摄的照片。Untappd鼓励用户上传啤酒瓶的照片，以便识别他们的饮料，这些照片有时会包括一些背景线索，这些背景线索允许应用程序去验证上传图片的用户位置。

我们继续用Camp Peary作为例子，我们可以看到图片已经被一个签到了三次的用户贴出来了。通过地理定位，我们可以将图片中的特征与Camp Peary内建筑物的卫星图像相匹配。我们也可以使用Untappd的个人资料，通过与其他社交媒体交叉引用用户名和个人资料图片来确认此人的身份。

另一种验证签到真实性的方法是浏览用户的配置文件。用户配置文件有一个时间线，但也有一个场地列表和每次签到时上传的照片列表。时间线仅限于最后365个条目，但照片列表和场地列表是无限的，这意味着我们可以获得目标用户完整的位置历史记录。

用户的地点列表特别有用，因为它可以按类别进行筛选，并按访问频率和日期进行排序。下面，您可以看到两个用户的（未验证的）历史记录。

这些用户签到的其他地方描绘了他们居住的地方、旅行的方式以及经常去的地方，而且还会有非常丰富的画面。他们大多数的签到表都附有他们饮料的照片，有时会在背景中露出家人、朋友和同事。

没错，大家可以看到，我们只不过喝个酒签个到，玩玩社交软件，就把自己的隐私全都暴露个精光了。跟其他任何社交媒体一样，Untappd的这些照片也可以自己透露更多信息。不同的是，在使用Untappd时，很多用户的焦点都会放在照片中的啤酒瓶子上面，喝得微醺一点的用户还会拍摄更多的签到照片，这将会暴露更多的隐私。

文由安全客