Мобильные приложения, созданные специально для американских военных, ветеранов и их семей, массово собирают личные данные пользователей и передают их третьим сторонам, а более 13% таких программ содержат иностранный код, в том числе из Китая и России. К такому выводу пришли исследователи из Университета Пердью и Военной академии США в Вест-Пойнте, изучившие 242 «военных» приложения и опросившие 103 человека, связанных с американской армией. Работа опубликована в журнале Proceedings on Privacy Enhancing Technologies.
Речь идет о программах, которые прямо рекламируют себя как сервисы для военных, — от банковских приложений и калькуляторов физподготовки до справочников по уставам и «военного Yelp» Hots&Cots, где солдаты оценивают казармы и столовые. Авторы проверили, какие данные эти приложения запрашивают и куда их отправляют. Оказалось, что 40% программ собирают больше информации, чем указывают в официальных описаниях в магазинах Google и Apple, а 64% содержат сторонние рекламные и аналитические модули, способные самостоятельно передавать данные на внешние серверы.
Двенадцать приложений содержали программные компоненты китайской фирмы Huawei, которую американские власти еще в 2020 году объявили угрозой национальной безопасности. Два приложения оказались разработаны российскими компаниями и использовали российские рекламные сервисы, включая рекламу «Яндекса». Хотя утечек данных на китайские или российские серверы исследователи не зафиксировали, они предупреждают, что такие модули можно удаленно обновить в любой момент и незаметно включить сбор геолокации или идентификаторов устройств тысяч военных.
В одном случае разработчик даже не знал, что в его программе есть китайский код. Создатель Hots&Cots, бывший сержант армии США, узнал о компоненте Huawei от исследователей — тот попал в приложение через стороннюю библиотеку уведомлений. Когда ее разработчики не ответили на его запрос, он полностью переписал систему уведомлений, чтобы убрать китайский код, и сообщил об этом пользователям.
Опрос показал, что военные и их близкие фактически не осознают масштаб проблемы. Хотя больше 80% участников заявили, что им крайне некомфортно от мысли о коде из КНДР, Ирана, России или Китая в их телефонах, определить, какие именно приложения его содержат, они не смогли. При этом 83,5% опрошенных пользуются хотя бы одной программой, которая собирает чувствительные данные, а в среднем таких приложений у каждого больше трех.
Участники исследования хорошо понимают, чем грозят подобные утечки, — от слежки за перемещениями и шантажа финансово уязвимых военнослужащих до срыва боевых операций и раскрытия военных секретов. Самой эффективной мерой защиты они назвали встроенные в смартфон предупреждения о наличии иностранного кода в установленных программах, а также федеральный закон, запрещающий брокерам данных торговать информацией о военных. Авторы напоминают, что опасность вполне реальна — еще в 2018 году фитнес-приложение Strava случайно раскрыло расположение секретных американских баз, опубликовав карту пробежек своих пользователей.
