Telset.id – Sebuah studi baru dari Purdue University, US Military Academy at West Point, dan Florida International University mengungkap fakta mengejutkan: aplikasi populer yang digunakan personel militer Amerika Serikat untuk menilai kondisi tempat tinggal di pangkalan mereka sendiri mengandung kode dari Huawei, perusahaan telekomunikasi China yang telah ditetapkan regulator AS sebagai ancaman keamanan nasional pada 2020.
Penelitian ini memberikan gambaran pertama tentang risiko keamanan yang mengintai di dalam aplikasi yang dibangun dan dipasarkan khusus untuk militer. Dua aplikasi lainnya bahkan dibuat oleh perusahaan Rusia dan mengintegrasikan layanan iklan Yandex. Temuan ini menunjukkan betapa rentannya data personel militer terhadap eksploitasi melalui aplikasi sehari-hari.
Industri periklanan yang sebagian besar tidak diatur dengan ketat memperlakukan warga sipil dan personel militer secara sama, kecuali ada keuntungan dalam membedakan mereka. Padahal, paparan data ini dapat mengungkap penempatan pasukan, pergerakan unit, dan rutinitas personel di dalam fasilitas intelijen serta tempat perlindungan yang diperkuat di mana senjata nuklir diyakini disimpan.
Investigasi WIRED sebelumnya telah menunjukkan data lokasi yang dikumpulkan dari aplikasi biasa dapat melacak personel militer AS hingga ke rumah mereka, sekolah anak-anak mereka, dan tempat-tempat di luar pangkalan di mana personel dilarang terlihat. Para ahli memperingatkan data yang sama dapat membantu mata-mata asing mengidentifikasi personel dengan akses ke lokasi sensitif, memetakan kapan suatu fasilitas paling sedikit dijaga, atau mengungkap detail kompromi lainnya.
Ancaman Nyata di Zona Perang
Ancaman ini bukan lagi sekadar hipotetis. Pada April lalu, Komando Pusat AS mengakui dalam surat kepada Senator Ron Wyden bahwa mereka telah menerima banyak laporan ancaman tentang musuh yang mengeksploitasi data lokasi komersial untuk menargetkan atau memata-matai personel Amerika di Timur Tengah. Di sana, pasukan AS masih terlibat dalam kebuntuan dengan militer Iran di Selat Hormuz.
Para anggota parlemen menyebutnya sebagai konfirmasi resmi pertama bahwa personel di zona perang aktif diburu melalui ekonomi broker data. Ancaman ini telah diperingatkan oleh kontraktor dan peneliti Pentagon sendiri selama hampir satu dekade. Studi baru ini menjadi langkah awal untuk melihat lebih dekat satu bagian dari paparan tersebut: apa yang sebenarnya ada di dalam aplikasi yang dibuat dan dipasarkan khusus untuk militer.
“Kami bersyukur atas kesempatan untuk menyoroti masalah ini,” kata Joshua Shinkle, peneliti PhD Purdue University dan penulis utama studi tersebut. “Kami berharap penelitian ini membantu personel militer, pengembang, dan platform membuat keputusan privasi yang lebih tepat dan mendorong diskusi berkelanjutan dengan pengembang, platform, dan pembuat kebijakan tentang cara mengatasi kesenjangan ini.”
Para peneliti memeriksa lebih dari 220 aplikasi militer, mulai dari panduan seragam dan persiapan ujian promosi hingga aplikasi perbankan dan kencan, yang diambil dari Google Play Store dan subreddit militer. Hasilnya, hampir dua pertiga atau 64 persen aplikasi mengandung kode pihak ketiga yang dikenal sebagai SDK.
SDK adalah komponen perangkat lunak pra-bangun yang biasanya digunakan untuk analitik dan periklanan, tetapi juga dapat melacak perilaku pengguna, termasuk lokasi mereka, dan membagikan informasi tersebut dengan perusahaan luar. Lebih mengkhawatirkan lagi, 40 persen aplikasi mengumpulkan atau membagikan lebih banyak data daripada yang diungkapkan dalam daftar Google atau Apple Store mereka.
Dominasi SDK Asing dalam Aplikasi Militer
SDK yang paling umum ditemukan berasal dari Google dan Facebook, dua perusahaan yang mendominasi periklanan digital AS. Namun, total 76 SDK berbeda ditemukan, termasuk kode yang terlacak kembali ke China, Rusia, Israel, India, Jerman, dan negara lainnya. Sekitar 7 persen aplikasi membawa kode pihak ketiga dari negara yang dianggap bermusuhan oleh Pentagon.
Dua belas aplikasi ditemukan mengandung HMS Core, kit perangkat lunak Huawei yang mengiklankan kemampuan untuk memetakan lokasi pengguna, mengirimkan iklan, dan menyimpan gambar serta video. Beberapa aplikasi ini dibangun untuk organisasi Garda Nasional negara bagian. Meskipun para peneliti tidak mengamati data yang benar-benar dikirim ke server Huawei, sebuah SDK dapat diperbarui dari jarak jauh kapan saja. Kode yang tidak aktif hari ini masih bisa menjadi spyware di masa depan.
Dalam setidaknya satu kasus yang dicatat oleh studi, kode Huawei tiba tanpa sepengetahuan pengembang aplikasi, diselundupkan sebagai dependensi dalam alat notifikasi komersial. Temuan ini menunjukkan betapa sulitnya bagi pengembang aplikasi untuk melacak semua kode yang berjalan di aplikasi mereka sendiri.
Para peneliti juga mensurvei 103 warga Amerika yang terkait dengan militer, termasuk personel aktif, cadangan, veteran, pegawai Departemen Pertahanan (DoD), dan keluarga mereka, tentang praktik data yang mereka temui di ponsel mereka sendiri. Lebih dari 83 persen menggunakan setidaknya satu aplikasi yang terlibat dalam praktik data yang membuat mereka tidak nyaman. Rata-rata, peserta menggunakan lebih dari tiga aplikasi semacam itu.
Antara 76 hingga 83 persen peserta mengatakan mereka sangat tidak nyaman dengan aplikasi yang mengandung kode dari China, Rusia, Iran, atau Korea Utara, empat negara yang ditetapkan Pentagon sebagai musuh siber. Namun, tidak ada pengguna yang memiliki cara mudah untuk mengetahui aplikasi mana yang membawa kode tersebut. Baik bagian Keamanan Data Google Play Store maupun Label Privasi Apple App Store tidak mengungkapkan negara asal perangkat lunak yang berjalan di dalam aplikasi.
Menariknya, peserta melaporkan merasa lebih nyaman dengan pengumpulan data ketika aplikasi diberi merek untuk penggunaan militer. Sementara itu, hampir dua pertiga mengatakan mereka menerima sedikit atau tidak ada panduan institusional tentang penggunaan aplikasi pribadi. Dari mereka yang menerima beberapa panduan, hampir tiga perempat menyebutnya tidak memadai.
Pentagon menolak berkomentar mengenai temuan studi ini. Ketika diminta untuk menimbang potensi mitigasi, peserta menempatkan peringatan dalam ponsel, yaitu peringatan ketika kode pihak ketiga asing atau tidak dikenal hadir dalam aplikasi yang terinstal, sebagai langkah yang paling efektif dan paling mungkin mereka dukung. Dukungan yang hampir sama juga diberikan untuk undang-undang federal yang membatasi broker data membeli atau menjual data personel militer, audit independen terhadap pengungkapan privasi aplikasi, dan larangan yang lebih ketat terhadap kode asing dalam aplikasi yang dipasarkan untuk militer.
Komentar
Belum ada komentar.