Los SDK más comunes provenían de Google y Facebook, las dos compañías que dominan la publicidad digital en Estados Unidos. Sin embargo, se detectaron 76 en total, incluyendo código con origen en China, Rusia, Israel, India, Alemania y otros países. Aproximadamente el 7% de las aplicaciones contenían código de terceros proveniente de una nación considerada adversaria por el Pentágono.
Doce de las aplicaciones contenían HMS Core, un kit de software de Huawei que anuncia la capacidad de mapear la ubicación de los usuarios, mostrar anuncios y almacenar imágenes y videos. Varias fueron desarrolladas para organizaciones estatales de la Guardia Nacional.
Los investigadores no observaron que se enviaran datos a los servidores de Huawei. Sin embargo, un SDK puede actualizarse de forma remota en cualquier momento. En al menos un caso, según consta en el estudio, el código de Huawei llegó sin el conocimiento del desarrollador de la aplicación, introducido subrepticiamente como una dependencia en una herramienta de notificación comercial.
Qué tanto se puede confiar en estas aplicaciones
Los investigadores también encuestaron a 103 estadounidenses vinculados al ejército, militares en servicio activo, veteranos, personal civil del Departamento de Defensa (DOD) y sus familias sobre las prácticas de datos que encontraban en sus propios teléfonos. Más del 83% utilizaba al menos una aplicación que realizaba prácticas de datos que, según ellos, les resultaban incómodas. En promedio, estos participantes utilizaban más de tres aplicaciones de este tipo.
Entre el 76% y el 83% de los participantes afirmaron sentirse extremadamente incómodos con las aplicaciones que contenían código procedente de China, Rusia, Irán o Corea del Norte, las cuatro naciones que el Pentágono designa como adversarios cibernéticos. Sin embargo, ningún usuario dispone de una forma sencilla de saber qué aplicaciones contienen dicho código. Ni la sección «Seguridad de los datos» de Google Play Store ni las «Etiquetas de privacidad» de la App Store de Apple revelan el país de origen del software que se ejecuta dentro de una aplicación.
Los participantes indicaron sentirse más cómodos con la recopilación de datos cuando una aplicación estaba destinada a uso militar. Mientras tanto, casi dos tercios afirmaron haber recibido poca o ninguna orientación institucional sobre el uso personal de aplicaciones. De quienes sí la recibieron, casi tres cuartas partes la consideraron insuficiente.
El Pentágono declinó hacer comentarios.
Al pedírseles que valoraran las posibles medidas de mitigación, los participantes clasificaron las advertencias en el teléfono, alertas que se activan cuando hay código de terceros desconocido o ajeno a la aplicación instalada, como las más eficaces y las que tenían más probabilidades de respaldar.
Una ley federal que restringe a los intermediarios de datos la compra o venta de datos sobre personal militar, auditorías independientes de las divulgaciones de privacidad de las aplicaciones y prohibiciones más estrictas del código extranjero en las aplicaciones comercializadas para el ejército recibieron un apoyo casi idéntico.
Artículo originalmente publicado en WIRED. Adaptado por Alondra Flores.
