Descargas una aplicación para consultar tu cronograma de implementación o tu base de tarifas de vivienda. Confías en que es seguro porque se comercializa específicamente para ti, la comunidad militar. Esa confianza está fuera de lugar.
Un nuevo estudio revela una sombría realidad. Más del 12% de las aplicaciones vendidas a las tropas estadounidenses contienen software creado en China, Rusia u otras naciones adversarias. Esto no es sólo una molestia para la privacidad. Es una fuga de seguridad.
El código permanece oculto. Puede recopilar datos sobre dónde viven los miembros del servicio. Dónde trabajan. Cuando se despliegan.
La magnitud del problema
Investigadores de la Universidad Purdue, West Point y la Universidad Internacional de Florida investigaron 220 aplicaciones de temática militar. Los sacaron de la tienda Google Play y de subreddits militares privados.
Los resultados fueron crudos. Casi dos tercios contenían kits de desarrollo de software (SDK) de terceros. Estos son componentes de código prediseñados. Se encargan de análisis y publicidad. Pero también rastrean la ubicación y el comportamiento del usuario.
Esperamos que la investigación ayude al personal afiliado al ejército… a tomar decisiones de privacidad más informadas.
— Joshua Shinkle, autor principal
Más de una de cada ocho aplicaciones tenía códigos vinculados a empresas de China o Rusia.
Una aplicación popular para calificar las condiciones de vida incluía software de Huawei. Los reguladores estadounidenses señalaron a Huawei como una amenaza a la seguridad nacional en 2020. Otras aplicaciones contenían códigos de empresas rusas. Estas aplicaciones integraban Yandex, un servicio publicitario ruso.
El cuarenta por ciento de estas aplicaciones recopilaron o compartieron más datos de los que admitían sus listados de tiendas. La discrepancia entre la divulgación y la práctica real es donde reside el peligro.
Cómo los SDK extranjeros amenazan la seguridad de las tropas
Esto no es teórico. Lo que está en juego es real e inmediato.
Los corredores de datos comerciales rastrean a los estadounidenses en línea. No siempre distinguen entre civiles y militares a menos que el beneficio así lo indique. Pero la exposición puede ser mortal.
Los datos de aplicaciones comunes pueden rastrear a los miembros del servicio hasta:
- Sus casas particulares
- Las escuelas de sus hijos
- Establecimientos fuera de la base a los que tienen prohibido acudir
Los expertos advierten que estos datos ayudan a los espías extranjeros a identificar al personal con acceso a áreas sensibles. Mapea cuándo una instalación está menos vigilada. Saca a la luz detalles comprometedores que pueden utilizarse para reclutamiento, extorsión o sabotaje.
En abril, el Comando Central de Estados Unidos confirmó lo que el Pentágono había sospechado durante años. Los adversarios ya están utilizando estos datos de ubicación comercial para vigilar al personal estadounidense en Medio Oriente. Esto incluye tropas estacionadas cerca del ejército iraní en el Estrecho de Ormuz.
El problema principal de Huawei HMS
El estudio encontró HMS Core, un kit de software de Huawei, en doce aplicaciones diferentes. Algunos de ellos fueron construidos para organizaciones estatales de la Guardia Nacional.
HMS Core anuncia la capacidad de:
- Mapear las ubicaciones de los usuarios
- Ofrezca anuncios dirigidos
- Almacenar imágenes y vídeos
No hay evidencia que sugiera que actualmente haya datos fluyendo a los servidores de Huawei en este lote específico de aplicaciones. Pero un SDK se puede actualizar de forma remota. El código que hoy permanece inactivo puede convertirse en software espía mañana.
En un caso, el código de Huawei ingresó a una aplicación sin el conocimiento del desarrollador. Fue introducido de contrabando como una dependencia dentro de una herramienta de notificación comercial. ¿Cómo llegó allí? Probablemente porque el desarrollador confió en una biblioteca de terceros sin auditar su fuente.
Se encontraron setenta y seis fuentes diferentes de códigos de terceros. Estos se remontaban a Israel, India, Alemania y otras naciones. Aproximadamente el 7% de las aplicaciones llevaban código de naciones que el Pentágono etiqueta explícitamente como adversarias.
Por qué los usuarios no pueden protegerse
Los investigadores encuestaron a 103 personas afiliadas al ejército. Esto incluía al servicio activo, reservistas, veteranos, civiles del Departamento de Defensa y sus familias.
Los resultados muestran una falla sistémica de transparencia.
- 83% usó al menos una aplicación con prácticas de datos incómodas.
- Los participantes utilizaron un promedio de tres de estas aplicaciones.
- Entre el 76 % y el 83 % se sentían extremadamente incómodos con las aplicaciones que contenían códigos de Rusia, China, Irán o Corea del Norte.
Sin embargo, ningún usuario tiene una manera sencilla de saber si sus aplicaciones llevan este código.
Ni la sección de seguridad de datos de Google Play Store ni las etiquetas de privacidad de Apple App Store revelan el país de origen del software que se ejecuta dentro de una aplicación. Puedes ver qué datos se recopilan, pero no puedes ver quién fabrica las herramientas que los recopilan.
Los usuarios informaron que se sentían más cómodos con la recopilación de datos si la aplicación tenía la marca para uso militar. La marca genera confianza. Esa confianza está siendo explotada.
Falta orientación institucional
Casi dos tercios de los participantes dijeron que recibieron poca o ninguna orientación por parte del ejército sobre el uso de aplicaciones personales. De los que recibieron orientación, casi tres cuartas partes la calificaron de inadecuada.
El Pentágono se negó a comentar sobre los hallazgos.
Entonces, ¿qué se puede hacer? Se pidió a los participantes que sopesaran las posibles mitigaciones.
Clasificaron las advertencias telefónicas como la solución más eficaz. Imagine un sistema de alerta que le notifique cuando una aplicación instalada contiene código de terceros desconocido o extraño. Los usuarios dijeron que probablemente apoyarían esto.
Otras medidas sugeridas incluyeron:
- Leyes federales que restringen a los intermediarios de datos la venta de datos sobre personal militar.
- Auditorías independientes de divulgaciones de privacidad de aplicaciones.
- Prohibiciones más estrictas sobre códigos extranjeros en aplicaciones de marketing militar
Estas medidas obtuvieron un apoyo casi idéntico del grupo encuestado.
La industria publicitaria trata por igual a los usuarios militares y a los civiles. El beneficio es el único diferenciador. Hasta que las plataformas y los desarrolladores se vean obligados a revelar el origen del código que envían, los miembros del servicio seguirán expuestos.
El código está ahí. Sólo está esperando una actualización remota.
