Você baixa um aplicativo para verificar seu cronograma de implantação ou tarifa básica de alojamento. Você confia que é seguro porque é comercializado especificamente para você, a comunidade militar. Essa confiança é equivocada.
Um novo estudo revela uma realidade sombria. Mais de 12% dos aplicativos vendidos às tropas dos EUA contêm software desenvolvido na China, na Rússia ou em outras nações adversárias. Isso não é apenas um incômodo de privacidade. É um vazamento de segurança.
O código fica oculto. Ele pode coletar dados sobre onde moram os militares. Onde eles trabalham. Quando eles implantarem.
A escala do problema
Pesquisadores da Purdue University, West Point e Florida International University investigaram 220 aplicativos com tema militar. Eles os retiraram da Google Play Store e de subreddits militares privados.
Os resultados foram nítidos. Quase dois terços continham kits de desenvolvimento de software (SDKs) de terceiros. Estes são componentes de código pré-construídos. Eles lidam com análises e publicidade. Mas eles também rastreiam a localização e o comportamento do usuário.
Esperamos que a pesquisa ajude o pessoal militar… a tomar decisões de privacidade mais informadas.
— Joshua Shinkle, autor principal
Mais de um em cada oito aplicativos tinha código vinculado a empresas na China ou na Rússia.
Um aplicativo popular para avaliar as condições de vida incluía software da Huawei. Os reguladores dos EUA sinalizaram a Huawei como uma ameaça à segurança nacional em 2020. Outros aplicativos continham códigos de empresas russas. Esses aplicativos integraram o Yandex, um serviço de publicidade russo.
Quarenta por cento desses aplicativos coletaram ou compartilharam mais dados do que as listagens da loja admitiam. A discrepância entre a divulgação e a prática real é onde reside o perigo.
Como SDKs estrangeiros ameaçam a segurança das tropas
Isso não é teórico. Os riscos são reais e imediatos.
Corretores de dados comerciais rastreiam os americanos online. Nem sempre distinguem entre civis e militares, a menos que o lucro assim o exija. Mas a exposição pode ser mortal.
Os dados de aplicativos comuns podem rastrear membros do serviço até:
- Suas casas particulares
- As escolas dos seus filhos
- Estabelecimentos fora da base onde são proibidos de frequentar
Especialistas alertam que esses dados ajudam espiões estrangeiros a identificar pessoal com acesso a áreas sensíveis. Ele mapeia quando uma instalação está menos protegida. Ele revela detalhes comprometedores que podem ser usados para recrutamento, extorsão ou sabotagem.
Em Abril, o Comando Central dos EUA confirmou o que o Pentágono suspeitava há anos. Os adversários já estão a utilizar estes dados de localização comercial para vigiar o pessoal dos EUA no Médio Oriente. Isto inclui tropas estacionadas perto dos militares iranianos no Estreito de Ormuz.
O problema principal do Huawei HMS
O estudo encontrou o HMS Core, um kit de software da Huawei, em doze aplicativos diferentes. Alguns deles foram construídos para organizações estaduais da Guarda Nacional.
O HMS Core anuncia a capacidade de:
- Mapeie as localizações dos usuários
- Forneça anúncios direcionados
- Armazene imagens e vídeos
Nenhuma evidência sugeriu que dados estavam fluindo para os servidores da Huawei neste lote específico de aplicativos. Mas um SDK pode ser atualizado remotamente. Código que permanece inativo hoje pode se transformar em spyware amanhã.
Num caso, o código da Huawei entrou numa aplicação sem o conhecimento do desenvolvedor. Foi contrabandeado como uma dependência de uma ferramenta de notificação comercial. Como isso chegou lá? Provavelmente porque o desenvolvedor confiou em uma biblioteca de terceiros sem auditar sua fonte.
Foram encontradas setenta e seis fontes diferentes de códigos de terceiros. Estes remontam a Israel, Índia, Alemanha e outras nações. Aproximadamente 7% dos aplicativos continham códigos de países que o Pentágono rotula explicitamente como adversários.
Por que os usuários não conseguem se proteger
Os pesquisadores entrevistaram 103 indivíduos afiliados ao exército. Isso incluía serviço ativo, reservistas, veteranos, civis do Departamento de Defesa e suas famílias.
Os resultados mostram uma falha sistêmica de transparência.
- 83% usaram pelo menos um aplicativo com práticas de dados desconfortáveis.
*Os participantes usaram em média três desses aplicativos. - Entre 76% e 83% ficaram extremamente desconfortáveis com aplicativos contendo códigos da Rússia, China, Irã ou Coreia do Norte.
No entanto, nenhum usuário tem uma maneira simples de saber se seus aplicativos possuem esse código.
Nem a seção de segurança de dados da Google Play Store nem os rótulos de privacidade da Apple App Store divulgam o país de origem do software executado em um aplicativo. Você pode ver quais dados são coletados, mas não pode ver quem faz as ferramentas que os coletam.
Os usuários relataram que se sentiam mais confortáveis com a coleta de dados se o aplicativo fosse de marca para uso militar. A marca cria confiança. Essa confiança está sendo explorada.
Falta orientação institucional
Quase dois terços dos participantes disseram que receberam pouca ou nenhuma orientação dos militares sobre o uso de aplicativos pessoais. Daqueles que receberam orientação, quase três quartos consideraram-na inadequada.
O Pentágono se recusou a comentar as descobertas.
Então, o que pode ser feito? Os participantes foram convidados a avaliar possíveis mitigações.
Eles classificaram os avisos por telefone como a solução mais eficaz. Imagine um sistema de alerta que notifica quando um aplicativo instalado contém código de terceiros estrangeiro ou desconhecido. Os usuários disseram que provavelmente apoiariam isso.
Outras medidas sugeridas incluíram:
- Leis federais que restringem os corretores de dados de vender dados sobre militares
- Auditorias independentes de divulgações de privacidade de aplicativos
- Proibições mais rigorosas de código estrangeiro em aplicativos de marketing militar
Estas medidas atraíram um apoio quase idêntico do grupo inquirido.
A indústria da publicidade trata da mesma forma os usuários militares e os civis. O lucro é o único diferencial. Até que as plataformas e os desenvolvedores sejam forçados a revelar a origem do código que enviam, os membros do serviço permanecerão expostos.
O código está lá. Está apenas esperando por uma atualização remota.
