Scarichi un’app per verificare il programma di implementazione o l’alloggio tariffario. Hai fiducia che sia sicuro perché è commercializzato specificamente per te, la comunità militare. Quella fiducia è malriposta.
Un nuovo studio rivela una triste realtà. Oltre il 12% delle app vendute alle truppe statunitensi contiene software realizzato in Cina, Russia o altre nazioni avversarie. Questo non è solo un problema di privacy. È una perdita di sicurezza.
Il codice è nascosto. Può raccogliere dati su dove vivono i membri del servizio. Dove lavorano. Quando si schierano.
La portata del problema
I ricercatori della Purdue University, West Point e della Florida International University hanno analizzato 220 app a tema militare. Li hanno estratti dal Google Play Store e dai subreddit militari privati.
I risultati sono stati duri. Quasi due terzi contenevano kit di sviluppo software (SDK) di terze parti. Questi sono componenti di codice predefiniti. Gestiscono analisi e pubblicità. Ma tengono traccia anche della posizione e del comportamento dell’utente.
Ci auguriamo che la ricerca aiuti il personale affiliato all’esercito… a prendere decisioni più informate sulla privacy.
— Joshua Shinkle, autore principale
Più di un’app su otto aveva codici collegati ad aziende in Cina o Russia.
Una popolare app per la valutazione delle condizioni di vita includeva il software Huawei. Le autorità di regolamentazione statunitensi hanno segnalato Huawei come una minaccia alla sicurezza nazionale nel 2020. Altre app contenevano codice di aziende russe. Queste app integravano Yandex, un servizio pubblicitario russo.
Il quaranta per cento di queste app ha raccolto o condiviso più dati di quanto ammesso dalle schede dei negozi. Il pericolo risiede nella discrepanza tra la divulgazione e la pratica effettiva.
In che modo gli SDK stranieri minacciano la sicurezza delle truppe
Questo non è teorico. La posta in gioco è reale e immediata.
I broker di dati commerciali monitorano gli americani online. Non sempre distinguono tra civili e personale militare a meno che il profitto non lo imponga. Ma l’esposizione può essere mortale.
I dati provenienti dalle app ordinarie possono tracciare i membri del servizio a:
Le loro case private
Le scuole dei loro figli
* Stabilimenti fuori base dove è loro vietato recarsi
Gli esperti avvertono che questi dati aiutano le spie straniere a identificare il personale con accesso ad aree sensibili. Mappa quando una struttura è meno sorvegliata. Vengono alla luce dettagli compromettenti che possono essere utilizzati per reclutamento, estorsione o sabotaggio.
Ad aprile, il Comando Centrale degli Stati Uniti ha confermato ciò che il Pentagono sospettava da anni. Gli avversari stanno già utilizzando questi dati sulla localizzazione commerciale per sorvegliare il personale statunitense in Medio Oriente. Ciò include le truppe di stanza vicino all’esercito iraniano nello Stretto di Hormuz.
Il problema principale di Huawei HMS
Lo studio ha rilevato HMS Core, un kit software Huawei, in dodici diverse app. Alcuni di questi sono stati costruiti per le organizzazioni statali della Guardia Nazionale.
HMS Core pubblicizza la capacità di:
- Mappa delle posizioni degli utenti
- Fornire annunci mirati
- Archivia immagini e video
Nessuna prova suggeriva che i dati stessero attualmente fluendo verso i server Huawei in questo specifico batch di app. Ma un SDK può essere aggiornato da remoto. Il codice che oggi rimane dormiente può trasformarsi in spyware domani.
In un caso, il codice Huawei è entrato in un’app all’insaputa dello sviluppatore. È stato introdotto di nascosto come dipendenza all’interno di uno strumento di notifica commerciale. Come è arrivato lì? Probabilmente perché lo sviluppatore si è fidato di una libreria di terze parti senza controllarne l’origine.
Sono state trovate settantasei diverse fonti di codice di terze parti. Questi risalivano a Israele, India, Germania e altre nazioni. Circa il 7% delle app conteneva codice proveniente da nazioni che il Pentagono etichetta esplicitamente come avversari.
Perché gli utenti non riescono a proteggersi
I ricercatori hanno intervistato 103 individui affiliati all’esercito. Ciò includeva il servizio attivo, i riservisti, i veterani, i civili del Dipartimento della Difesa e le loro famiglie.
I risultati mostrano un fallimento sistemico della trasparenza.
- 83% ha utilizzato almeno un’app con pratiche scomode sui dati.
- I partecipanti hanno utilizzato in media tre di queste app.
- Tra il 76% e l’83% si dichiara estremamente a disagio con le app contenenti codice proveniente da Russia, Cina, Iran o Corea del Nord.
Tuttavia, nessun utente dispone di un modo semplice per sapere se le proprie app contengono questo codice.
Né la sezione Sicurezza dei dati di Google Play Store né le etichette sulla privacy dell’App Store di Apple rivelano il paese di origine del software in esecuzione all’interno di un’app. Puoi vedere quali dati vengono raccolti, ma non puoi vedere chi crea gli strumenti che li raccolgono.
Gli utenti hanno riferito di sentirsi più a loro agio con la raccolta dei dati se l’app fosse stata marchiata per uso militare. Il marchio crea fiducia. Quella fiducia viene sfruttata.
Manca una guida istituzionale
Quasi due terzi dei partecipanti hanno affermato di aver ricevuto poche o nessuna guida sull’uso personale delle app da parte dei militari. Tra coloro che hanno ricevuto assistenza, quasi tre quarti l’hanno definita inadeguata.
Il Pentagono ha rifiutato di commentare i risultati.
Quindi cosa si può fare? Ai partecipanti è stato chiesto di valutare le potenziali mitigazioni.
Hanno classificato gli avvisi via telefono come la soluzione più efficace. Immagina un sistema di avviso che ti avvisa quando un’app installata contiene codice di terze parti estraneo o sconosciuto. Gli utenti hanno affermato che probabilmente lo sosterrebbero.
Altre misure suggerite includevano:
- Leggi federali che limitano la vendita di dati sul personale militare da parte degli intermediari di dati
- Audit indipendenti delle informative sulla privacy delle app
- Divieti più severi sul codice straniero nelle app di marketing militare
Queste misure hanno ottenuto un sostegno quasi identico da parte del gruppo intervistato.
L’industria pubblicitaria tratta allo stesso modo gli utenti militari e i civili. Il profitto è l’unico elemento di differenziazione. Fino a quando le piattaforme e gli sviluppatori non saranno costretti a rivelare l’origine del codice che distribuiscono, i membri del servizio rimarranno esposti.
Il codice è lì. Sta solo aspettando un aggiornamento remoto.
