Aplicación para soldados… y por dentro, Rusia: el Ejército de EE. UU. terminó usando código extranjero

Las aplicaciones móviles militares, que deberían ayudar a los militares estadounidenses en la vida cotidiana, resultaron ser inesperadamente una posible fuente de fugas de datos. Los especialistas descubrieron que muchas de estas aplicaciones contienen componentes de software de empresas de China, Rusia y otros países que el Departamento de Defensa de Estados Unidos considera posibles adversarios.

Así lo concluyeron especialistas de la Universidad Purdue, la Academia Militar de Estados Unidos en West Point y la Universidad Internacional de Florida. Analizaron más de 220 aplicaciones para Android orientadas a personal militar. Entre ellas había guías sobre el uniforme, programas para preparar exámenes, servicios bancarios, aplicaciones de citas y otras. En más de una de cada ocho aplicaciones se detectó código de origen extranjero, y en aproximadamente el 7% de los casos se trataba de componentes de países que el Pentágono considera ciberadversarios.

Uno de los ejemplos más llamativos fue una aplicación popular para evaluar las condiciones de vida en las bases militares. Contenía el componente HMS Core de la compañía Huawei. Ese conjunto de bibliotecas permite determinar la ubicación del usuario, mostrar publicidad y trabajar con archivos multimedia. Otras dos aplicaciones usaban la plataforma publicitaria de una empresa rusa.

Los especialistas no encontraron indicios de transferencia de datos a servidores de Huawei. Sin embargo, los componentes de software pueden actualizarse de forma remota. Un código que hoy no realiza funciones peligrosas, tras una actualización puede adquirir nuevas capacidades sin modificar la propia aplicación. En un caso, el componente de Huawei llegó a la aplicación sin que el desarrollador se percatara, a través de una herramienta de terceros para enviar notificaciones.

El análisis también mostró que casi dos terceras partes de las aplicaciones usan bibliotecas de software de terceros. Con mayor frecuencia, los desarrolladores las integran para recopilar estadísticas y mostrar publicidad. Esos componentes pueden recopilar información sobre las acciones del usuario, incluidos datos de ubicación, y transmitirla a otras empresas. En total los especialistas encontraron 76 conjuntos distintos de bibliotecas vinculados a empresas de China, Rusia, Israel, India, Alemania y otros países.

Otro problema está relacionado con la transparencia. Alrededor del 40% de las aplicaciones recopilaba o transmitía más datos de los indicados en las descripciones de las tiendas Google Play y App Store. Además, ninguna de las plataformas revela el país de origen de los componentes de software incorporados, por lo que el usuario no puede evaluar por sí mismo los riesgos posibles.

Los autores del estudio también encuestaron a 103 personas vinculadas a las fuerzas armadas de Estados Unidos, incluidos militares en servicio activo, reservistas, veteranos, empleados civiles del Departamento de Defensa y miembros de sus familias. Más del 83% de los participantes informaron que utilizan al menos una aplicación cuyos métodos de recopilación de datos les generan incomodidad. De media, cada participante usaba más de tres de esas aplicaciones.

Entre el 76% y el 83% de los encuestados declararon que se oponen de forma muy pronunciada a la presencia en las aplicaciones de componentes procedentes de China, Rusia, Irán y Corea del Norte. Sin embargo, la mayoría admitió que no puede determinar el origen del código integrado. Casi dos tercios de los participantes también indicaron que prácticamente no habían recibido recomendaciones sobre el uso seguro de aplicaciones móviles, y entre quienes sí recibieron instrucción, alrededor de tres cuartas partes la consideraron insuficiente.

Los autores consideran que reducir el riesgo ayudaría con advertencias directamente en el teléfono sobre la presencia de componentes de software extranjeros, verificaciones independientes de las afirmaciones de los desarrolladores sobre la protección de datos, así como restricciones legislativas al uso de código extranjero en aplicaciones destinadas al personal militar. El Pentágono se negó a comentar los resultados del estudio.