Yhdysvaltain sotilaille, veteraaneille ja heidän perheilleen suunnitellut mobiilisovellukset keräävät laajasti käyttäjiensä henkilötietoja ja välittävät niitä kolmansille osapuolille. Lisäksi yli 13 prosenttia tällaisista sovelluksista sisältää ulkomaista ohjelmakoodia, myös Kiinasta ja Venäjältä. Näin todetaan Purduen yliopiston ja West Pointin sotilasakatemian tutkijoiden tutkimuksessa, jossa analysoitiin 242 sotilaille suunnattua sovellusta ja haastateltiin 103:a Yhdysvaltain asevoimiin kytköksissä olevaa henkilöä.
Tutkimus on julkaistu Proceedings on Privacy Enhancing Technologies -tiedejulkaisussa. Kyse on nimenomaan sotilaille markkinoiduista sovelluksista, joihin kuuluu muun muassa pankkisovelluksia, fyysisen kunnon laskureita, sotilassääntöjen hakuteoksia sekä Hots&Cots-palvelu, jossa arvioidaan kasarmeja ja ruokaloita.
Tutkijat selvittivät, mitä tietoja sovellukset pyytävät käyttäjiltä ja minne ne välittävät niitä. Kävi ilmi, että 40 prosenttia sovelluksista kerää enemmän tietoa kuin niiden virallisissa sovelluskauppojen tietosuojaselosteissa ilmoitetaan. Lisäksi 64 prosenttia sisältää kolmansien osapuolten mainos- ja analytiikkakomponentteja, jotka voivat itsenäisesti lähettää tietoja ulkoisille palvelimille.
12 sovelluksesta löytyi kiinalaisen, Yhdysvalloissa kansallisen turvallisuuden uhaksi luokitellun Huawein ohjelmistokomponentteja. Kaksi sovellusta oli venäläisten yritysten kehittämiä, ja ne käyttivät venäläisiä mainospalveluja, mukaan lukien Yandexin mainosverkkoa.
Tutkijat eivät havainneet tietojen päätyneen kiinalaisille tai venäläisille palvelimille, mutta varoittavat, että tällaiset ohjelmistokomponentit voidaan päivittää etänä milloin tahansa. Tällöin niihin voitaisiin huomaamatta lisätä esimerkiksi sotilaiden sijaintitietojen tai laitetunnisteiden kerääminen.
Yhdessä tapauksessa sovelluskehittäjä ei edes tiennyt ohjelmassaan olevan kiinalaista koodia. Hots&Cots-sovelluksen kehittäjä, Yhdysvaltain maavoimien entinen kersantti, sai tutkijoilta tiedon Huawein komponentista, joka oli päätynyt sovellukseen kolmannen osapuolen ilmoituskirjaston mukana. Kun kirjaston kehittäjät eivät vastanneet hänen yhteydenottoonsa, hän kirjoitti koko ilmoitusjärjestelmän uudelleen poistaakseen kiinalaisen koodin ja ilmoitti muutoksesta käyttäjille.
Kysely osoitti myös, että sotilaat ja heidän läheisensä eivät juuri tiedosta ongelman laajuutta. Vaikka yli 80 prosenttia vastaajista kertoi pitävänsä erittäin huolestuttavana ajatusta siitä, että heidän puhelimissaan olisi Pohjois-Koreasta, Iranista, Venäjältä tai Kiinasta peräisin olevaa ohjelmakoodia, he eivät kyenneet tunnistamaan, mitkä sovellukset sitä sisältävät.
Samalla 83,5 prosenttia vastaajista käyttää vähintään yhtä sovellusta, joka kerää arkaluonteisia tietoja. Keskimäärin jokaisella vastaajalla oli käytössään yli kolme tällaista sovellusta.
Tutkimukseen osallistuneet ymmärsivät hyvin, millaisia riskejä tietovuodot voivat aiheuttaa. Niihin kuuluvat muun muassa sotilaiden liikkeiden seuranta, taloudellisesti haavoittuvien sotilaiden kiristäminen, sotilasoperaatioiden vaarantuminen sekä sotilassalaisuuksien paljastuminen.
Tehokkaimpina suojakeinoina vastaajat pitivät älypuhelimiin sisään rakennettavia varoituksia ulkomaisen ohjelmakoodin sisältävistä sovelluksista sekä liittovaltion lakia, joka kieltäisi datavälittäjiä myymästä sotilaita koskevia tietoja.
Tutkijat muistuttavat, ettei kyse ole pelkästä teoreettisesta uhasta. Vuonna 2018 Strava-kuntoilusovellus paljasti vahingossa Yhdysvaltain salaisia sotilastukikohtia julkaisemalla käyttäjiensä juoksureiteistä muodostetun lämpökartan.