Aplicativos comercializados para tropas dos EUA estão enviando códigos chineses e russos
Um exame recente de centenas de aplicativos móveis comercializados para militares dos EUA descobriram que mais de um em cada oito continha software desenvolvido por empresas em China, Rússiaou outras nações estrangeiras, levantando novas preocupações de que os governos adversários possam recolher dados que revelem onde os militares vivem, trabalham e se deslocam.
De acordo com pesquisadores da Purdue University, da Academia Militar dos EUA em West Point e da Florida International Universityum aplicativo popular usado por militares para avaliar as condições de vida em suas próprias bases inclui o código da Huawei, a empresa de telecomunicações chinesa que os reguladores dos EUA sinalizaram como uma ameaça à segurança nacional em 2020. Dois outros foram construídos por empresas russas e incorporam o serviço de publicidade russo Yandex.
A indústria de publicidade amplamente não regulamentada que rastreia americanos online trata civis e militares basicamente da mesma forma – a menos que haja lucro em diferenciá-los—apesar das evidências de que a exposição pode revelar o envio de tropas, os movimentos das unidades e as rotinas do pessoal nas instalações de inteligência e nos abrigos reforçados onde se acredita que as armas nucleares estejam armazenadas.
As investigações da WIRED mostraram anteriormente dados de localização coletados de aplicativos comuns que rastreiam militares dos EUA até suas casas, escolas de seus filhos e estabelecimentos fora da base onde as tropas são proibidas de serem vistas. Especialistas alertaram que os mesmos dados poderiam ajudar espiões estrangeiros em identificar pessoal com acesso a sites confidenciaismapeie quando uma instalação está menos protegida ou revele outros detalhes comprometedores.
As apostas não são mais hipotéticas. Em abril, o Comando Central dos EUA reconhecido em carta ao senador Ron Wyden que recebeu vários relatórios de ameaças de adversários que exploram dados de localização comercial para atingir ou vigiar pessoal americano no Médio Oriente, onde as forças dos EUA permanecem num impasse com os militares iranianos sobre o Estreito de Ormuz. Os legisladores consideraram-na a primeira confirmação oficial de que as tropas numa zona de guerra activa estavam a ser caçadas através da economia de corretagem de dados – uma ameaça sobre a qual os próprios empreiteiros e investigadores do Pentágono tinham alertado durante quase uma década.
O novo estudo analisa primeiro uma parte dessa exposição: o que realmente está contido nos aplicativos desenvolvidos e comercializados especificamente para os militares.
“Estamos gratos pela oportunidade de trazer maior atenção a estas questões”, diz Joshua Shinkle, pesquisador PhD da Purdue University e principal autor do estudo. “Esperamos que a pesquisa ajude o pessoal militar, os desenvolvedores e as plataformas a tomarem decisões de privacidade mais informadas e incentive a discussão contínua com os desenvolvedores, plataformas e legisladores sobre como resolver essas lacunas.”
Os pesquisadores examinaram mais de 220 desses aplicativos – desde guias de uniformes e preparação para exames promocionais até aplicativos bancários e de namoro – retirados da Google Play Store e de subreddits militares. Quase dois terços – ou 64% – continham código de terceiros, conhecidos como SDKs: componentes de software pré-construídos, normalmente usados para análise e publicidade, que também podem rastrear o comportamento do usuário, incluindo sua localização, e compartilhar essas informações com empresas externas.
Quarenta por cento dos aplicativos coletaram ou compartilharam mais dados do que os divulgados nas listagens das lojas do Google ou da Apple, descobriram os pesquisadores.
Os SDKs mais comuns vieram do Google e do Facebook, as duas empresas que dominam a publicidade digital nos EUA. Mas apareceram 76 no total, incluindo códigos que remontam à China, Rússia, Israel, Índia, Alemanha e outros. Aproximadamente 7% dos aplicativos continham código de terceiros de uma nação considerada adversária pelo Pentágono.
Doze dos aplicativos continham HMS Core, um kit de software da Huawei que anuncia a capacidade de mapear localizações de usuários, exibir anúncios e armazenar imagens e vídeos. Vários foram construídos para organizações estaduais da Guarda Nacional.
Os pesquisadores não observaram nenhum dado realmente indo para os servidores da Huawei. Mas um SDK pode ser atualizado remotamente a qualquer momento. O código que está inativo hoje ainda pode ser spyware amanhã. Em pelo menos um caso, apontado pelo estudo, o código da Huawei chegou sem o conhecimento do desenvolvedor do aplicativo, contrabandeado como dependência de uma ferramenta de notificação comercial.