Alerta en el Pentágono: descubren código chino y ruso en apps que usan sus militares

Un estudio realizado por investigadores de la Universidad de Purdue, la Academia Militar de West Point y la Universidad Internacional de Florida analizó más de 220 aplicaciones diseñadas para el personal militar de Estados Unidos. Una de cada ocho contenía código de software desarrollado por empresas en China, Rusia u otras naciones que el Pentágono designa como adversarias.

Entre las apps analizadas hay de todo. Guías de uniformes, preparación para exámenes de ascenso, banca, citas y aplicaciones para calificar las condiciones de vida en las propias bases militares.

Una de las más populares en esa última categoría contenía código de Huawei, la empresa de telecomunicaciones china que los reguladores estadounidenses señalaron como amenaza a la seguridad nacional en 2020.

Otras dos aplicaciones fueron construidas por empresas rusas e incorporan el servicio de publicidad Yandex.

Doce aplicaciones incluían componentes de Huawei, empresa considerada un riesgo para la seguridad nacional por Estados Unidos.

Por qué preocupa ese código

El tipo de software que se encontró en las aplicaciones se llama SDK, que son componentes de software preconstruidos, generalmente usados para análisis y publicidad, que también pueden rastrear el comportamiento del usuario, incluyendo su ubicación, y compartir esa información con empresas externas.

Doce de las aplicaciones contenían HMS Core, un kit de software de Huawei que puede mapear la ubicación del usuario, entregar publicidad y almacenar imágenes y videos.

Varias de esas aplicaciones fueron construidas para organizaciones de la Guardia Nacional de distintos estados.

Los investigadores aclararon que no observaron datos enviándose realmente a servidores de Huawei. Pero un SDK puede actualizarse de forma remota en cualquier momento. Código que hoy está inactivo puede convertirse en spyware mañana.

En al menos un caso documentado en el estudio, el código de Huawei llegó sin que el propio desarrollador de la aplicación lo supiera, introducido como dependencia oculta en una herramienta de notificaciones comercial.

Los SDK pueden recopilar datos como ubicación, actividad del usuario e información del dispositivo.

No es un riesgo hipotético

En abril, el Comando Central de Estados Unidos reconoció en una carta al senador Ron Wyden que había recibido múltiples reportes de amenaza de adversarios explotando datos de ubicación comerciales para rastrear o vigilar a personal estadounidense en Medio Oriente, donde las fuerzas de Estados Unidos permanecen en un enfrentamiento con Irán por el Estrecho de Ormuz.

Legisladores describieron esa admisión como la primera confirmación oficial de que soldados en una zona de guerra activa estaban siendo rastreados a través de la economía de datos comerciales.

Investigaciones previas de Wired habían mostrado datos de ubicación recolectados de aplicaciones comunes rastreando a militares estadounidenses hasta sus hogares, las escuelas de sus hijos y locales fuera de la base donde se supone que no pueden estar.

Los mismos datos podrían ayudar a espías extranjeros a identificar personal con acceso a sitios sensibles o a mapear cuándo una instalación está menos protegida.

El Departamento de Defensa ya reconoció que datos comerciales de ubicación fueron utilizados para rastrear a militares en zonas de conflicto.

Los propios militares también están preocupados

Los investigadores también encuestaron a 103 estadounidenses vinculados al ejército, militares activos, reservistas, veteranos, civiles del Departamento de Defensa y sus familias, sobre las prácticas de datos en sus teléfonos.

Más del 83% usaba al menos una aplicación con prácticas que les generaban incomodidad. En promedio, cada participante usaba más de tres de esas aplicaciones.

Entre el 76 y el 83% dijo sentirse muy incómodo con aplicaciones que contengan código de China, Rusia, Irán o Corea del Norte.

Pero ningún usuario tiene una forma directa de saber qué aplicaciones llevan ese código porque ni la Play Store de Google ni la App Store de Apple revelan el país de origen del software que corre dentro de una app.

Casi dos tercios de los participantes dijeron haber recibido poca o ninguna orientación institucional sobre el uso de aplicaciones personales. De quienes sí recibieron alguna, casi tres cuartos la calificaron como insuficiente.

El Pentágono declinó hacer comentarios.

Las soluciones que proponen

Cuando los investigadores preguntaron a los participantes qué medidas preferirían, la más popular fue alertas dentro del teléfono que avisen cuando una aplicación instalada contiene código de origen extranjero o desconocido.

También tuvieron apoyo similar una ley federal que restrinja a los brokers de datos de comprar o vender información sobre personal militar, auditorías independientes de las políticas de privacidad declaradas por las apps, y prohibiciones más estrictas sobre código extranjero en aplicaciones diseñadas para militares.

La industria publicitaria que rastrea a los estadounidenses en línea trata a civiles y militares de la misma forma, a menos que haya un incentivo económico para diferenciarlos.

Eso significa que las mismas herramientas diseñadas para venderle algo a un usuario también pueden revelar si ese usuario vive en una base, trabaja en una instalación de inteligencia o acaba de ser desplegado en el exterior.

-----------