Pemeriksaan baru-baru ini Dari ratusan aplikasi seluler yang dipasarkan kepada personel militer AS, ditemukan lebih dari satu dari delapan aplikasi seluler berisi perangkat lunak yang dibuat oleh perusahaan-perusahaan di dalamnya Cina, Rusiaatau negara asing lainnya, meningkatkan kekhawatiran baru bahwa pemerintah musuh dapat mengambil data yang mengungkapkan di mana anggota militer tinggal, bekerja, dan ditempatkan.
Menurut peneliti di Universitas Purdue, Akademi Militer AS di West Point, dan Universitas Internasional Floridasalah satu aplikasi populer yang digunakan oleh anggota layanan untuk menilai kondisi kehidupan di basis mereka sendiri mencakup kode dari Huawei, perusahaan telekomunikasi Tiongkok yang ditandai oleh regulator AS sebagai ancaman keamanan nasional pada tahun 2020. Dua aplikasi lainnya dibuat oleh perusahaan Rusia dan menggabungkan layanan iklan Rusia Yandex.
Industri periklanan yang sebagian besar tidak diatur yang melacak orang Amerika secara online memperlakukan warga sipil dan anggota militer dengan cara yang sama—kecuali memang ada keuntungan dalam membedakan mereka—walaupun terdapat bukti bahwa paparan dapat mengungkap pengerahan pasukan, pergerakan unit, dan rutinitas personel dalam fasilitas intelijen dan tempat perlindungan yang diyakini sebagai tempat penyimpanan senjata nuklir.
Investigasi WIRED sebelumnya telah menunjukkan data lokasi yang diambil dari aplikasi biasa yang melacak anggota militer AS hingga ke rumah mereka, sekolah anak-anak mereka, dan lokasi di luar pangkalan di mana pasukan dilarang terlihat. Para ahli telah memperingatkan bahwa data yang sama dapat membantu mata-mata asing masuk mengidentifikasi personel yang memiliki akses ke situs sensitifpetakan saat suatu fasilitas paling tidak dijaga, atau tampilkan detail lain yang membahayakan.
Taruhannya tidak lagi bersifat hipotetis. Pada bulan April, Komando Pusat AS diakui dalam surat kepada Senator Ron Wyden bahwa pihaknya telah menerima beberapa laporan ancaman mengenai musuh yang mengeksploitasi data lokasi komersial untuk menargetkan atau mengawasi personel Amerika di Timur Tengah, di mana pasukan AS masih terlibat perselisihan dengan militer Iran di Selat Hormuz. Anggota parlemen menyebutnya sebagai konfirmasi resmi pertama bahwa pasukan di zona perang aktif diburu melalui perantara data ekonomi—sebuah ancaman yang telah diperingatkan oleh kontraktor dan peneliti Pentagon selama hampir satu dekade.
Studi baru ini melihat sekilas salah satu bagian dari paparan tersebut: apa yang sebenarnya ada di dalam aplikasi yang dibuat dan dipasarkan khusus untuk militer.
“Kami berterima kasih atas kesempatan untuk memberikan perhatian yang lebih besar terhadap masalah ini,” kata Joshua Shinkle, peneliti PhD dari Universitas Purdue dan penulis utama studi tersebut. “Kami berharap penelitian ini membantu personel, pengembang, dan platform yang berafiliasi dengan militer membuat keputusan privasi yang lebih tepat dan mendorong diskusi berkelanjutan dengan pengembang, platform, dan pembuat kebijakan tentang cara mengatasi kesenjangan ini.”
Para peneliti memeriksa lebih dari 220 aplikasi semacam itu—mulai dari panduan seragam dan persiapan ujian promosi hingga aplikasi perbankan dan kencan—yang diambil dari Google Play Store dan subreddit militer. Hampir dua pertiga—atau 64 persen—berisi kode pihak ketiga, yang dikenal sebagai SDK: komponen perangkat lunak bawaan, biasanya digunakan untuk analisis dan periklanan, yang juga dapat melacak perilaku pengguna, termasuk lokasi mereka, dan membagikan informasi tersebut dengan perusahaan luar.
Empat puluh persen aplikasi mengumpulkan atau membagikan lebih banyak data daripada yang diungkapkan di daftar toko Google atau Apple, demikian temuan para peneliti.
SDK yang paling umum berasal dari Google dan Facebook, dua perusahaan yang mendominasi periklanan digital AS. Namun totalnya ada 76 kode yang muncul, termasuk kode yang ditelusuri kembali ke Tiongkok, Rusia, Israel, India, Jerman, dan lainnya. Sekitar 7 persen aplikasi membawa kode pihak ketiga dari negara yang dianggap musuh oleh Pentagon.
Dua belas aplikasi tersebut berisi HMS Core, perangkat lunak Huawei yang mengiklankan kemampuan untuk memetakan lokasi pengguna, menayangkan iklan, dan menyimpan gambar dan video. Beberapa dibangun untuk organisasi Garda Nasional negara bagian.
Para peneliti mengamati tidak ada data yang benar-benar masuk ke server Huawei. Namun SDK dapat diperbarui dari jarak jauh kapan saja. Kode yang tidak aktif hari ini masih bisa menjadi spyware besok. Setidaknya dalam satu kasus, yang dicatat dalam penelitian ini, kode Huawei tiba tanpa sepengetahuan pengembang aplikasi, dan diselundupkan sebagai ketergantungan pada alat notifikasi komersial.
