JBNews.id — Sebuah studi dari Purdue University, US Military Academy West Point, dan Florida International University mengungkap bahwa aplikasi populer yang digunakan personel militer Amerika Serikat untuk menilai kondisi tempat tinggal di pangkalan mereka mengandung kode dari Huawei, perusahaan telekomunikasi China yang telah ditetapkan sebagai ancaman keamanan nasional oleh regulator AS sejak 2020.
Temuan ini menjadi bukti baru bahwa rantai pasok perangkat lunak militer memiliki celah keamanan serius. Dua aplikasi lainnya dibangun oleh perusahaan Rusia dan menyertakan layanan iklan Yandex. Industri periklanan yang nyaris tanpa regulasi ini memperlakukan warga sipil dan personel militer secara sama—kecuali ada keuntungan dalam membedakan mereka—meskipun ada bukti bahwa paparan data dapat mengungkap penempatan pasukan, pergerakan unit, dan rutinitas personel di dalam fasilitas intelijen serta bunker tempat senjata nuklir disimpan.
Investigasi WIRED sebelumnya telah menunjukkan data lokasi yang dipanen dari aplikasi biasa mampu melacak personel militer AS hingga ke rumah mereka, sekolah anak-anak mereka, dan tempat-tempat di luar pangkalan yang seharusnya tidak boleh dikunjungi personel. Para ahli memperingatkan data yang sama dapat membantu mata-mata asing mengidentifikasi personel yang memiliki akses ke lokasi sensitif, memetakan kapan suatu fasilitas paling tidak dijaga, atau menemukan detail kompromi lainnya.
Konfirmasi Resmi Ancaman Data di Zona Perang
Ancaman ini bukan lagi sekadar teori. Pada April lalu, US Central Command dalam surat kepada Senator Ron Wyden mengakui telah menerima beberapa laporan ancaman di mana musuh mengeksploitasi data lokasi komersial untuk menargetkan atau mengawasi personel AS di Timur Tengah, tempat pasukan AS masih terlibat ketegangan dengan militer Iran di Selat Hormuz. Para anggota kongres menyebutnya sebagai konfirmasi resmi pertama bahwa personel di zona perang aktif sedang diburu melalui ekonomi perantara data—ancaman yang telah diperingatkan oleh kontraktor dan peneliti Pentagon sendiri selama hampir satu dekade.
Baca Juga:
Studi baru ini untuk pertama kalinya mengkaji satu bagian dari paparan tersebut: apa yang sebenarnya ada di dalam aplikasi yang dibuat dan dipasarkan khusus untuk militer. “Kami berterima kasih atas kesempatan untuk memberikan perhatian lebih besar pada masalah ini,” kata Joshua Shinkle, peneliti PhD dari Purdue University dan penulis utama studi tersebut. “Kami berharap penelitian ini membantu personel militer, pengembang, dan platform membuat keputusan privasi yang lebih tepat dan mendorong diskusi berkelanjutan tentang bagaimana mengatasi kesenjangan ini.”
Dua Pertiga Aplikasi Militer Mengandung Kode Pihak Ketiga
Para peneliti memeriksa lebih dari 220 aplikasi—dari panduan seragam dan persiapan ujian promosi hingga aplikasi perbankan dan kencan—yang diambil dari Google Play Store dan subreddit militer. Hampir dua pertiga—atau 64 persen—mengandung kode pihak ketiga yang dikenal sebagai SDK: komponen perangkat lunak pra-bangun yang biasanya digunakan untuk analitik dan periklanan, tetapi juga dapat melacak perilaku pengguna, termasuk lokasi mereka, dan membagikan informasi tersebut dengan perusahaan luar.
Empat puluh persen aplikasi mengumpulkan atau membagikan lebih banyak data daripada yang diungkapkan dalam daftar Google atau Apple Store, demikian temuan peneliti. SDK yang paling umum berasal dari Google dan Facebook, dua perusahaan yang mendominasi periklanan digital AS. Namun total 76 SDK ditemukan, termasuk kode yang terlacak kembali ke China, Rusia, Israel, India, Jerman, dan negara lainnya.
Sekitar 7 persen aplikasi membawa kode pihak ketiga dari negara yang dianggap sebagai musuh oleh Pentagon. Dua belas aplikasi mengandung HMS Core, kit perangkat lunak Huawei yang mengiklankan kemampuan untuk memetakan lokasi pengguna, mengirimkan iklan, dan menyimpan gambar serta video. Beberapa di antaranya dibangun untuk organisasi Garda Nasional negara bagian.
Para peneliti tidak mengamati data yang benar-benar dikirim ke server Huawei. Namun SDK dapat diperbarui dari jarak jauh kapan saja. Kode yang tidak aktif hari ini bisa menjadi spyware besok. Dalam setidaknya satu kasus yang dicatat oleh studi, kode Huawei masuk tanpa sepengetahuan pengembang aplikasi, diselundupkan sebagai dependensi dalam alat notifikasi komersial.
Survei: 83 Persen Personel Militer Gunakan Aplikasi Berbahaya
Para peneliti juga mensurvei 103 warga Amerika yang terkait militer—personel aktif, cadangan, veteran, pegawai sipil Departemen Pertahanan, dan keluarga mereka—tentang praktik data yang mereka temui di ponsel mereka sendiri. Lebih dari 83 persen menggunakan setidaknya satu aplikasi yang terlibat dalam praktik data yang membuat mereka tidak nyaman. Rata-rata, peserta tersebut menggunakan lebih dari tiga aplikasi semacam itu.
Antara 76 dan 83 persen peserta mengatakan mereka sangat tidak nyaman dengan aplikasi yang mengandung kode dari China, Rusia, Iran, atau Korea Utara—empat negara yang ditetapkan Pentagon sebagai musuh siber. Namun tidak ada pengguna yang memiliki cara mudah untuk mengetahui aplikasi mana yang membawa kode tersebut. Baik bagian Data Safety Google Play Store maupun label privasi Apple App Store tidak mengungkapkan negara asal perangkat lunak yang berjalan di dalam aplikasi.
Peserta melaporkan merasa lebih nyaman dengan pengumpulan data ketika sebuah aplikasi diberi merek untuk penggunaan militer. Sementara itu, hampir dua pertiga mengatakan mereka menerima sedikit atau tidak ada panduan institusional tentang penggunaan aplikasi pribadi. Dari mereka yang menerima beberapa panduan, hampir tiga perempat menyebutnya tidak memadai. Pentagon menolak berkomentar.
Ketika diminta untuk menimbang potensi mitigasi, peserta memeringkat peringatan dalam ponsel—peringatan ketika kode pihak ketiga asing atau tidak dikenal hadir dalam aplikasi yang terinstal—sebagai yang paling efektif dan paling mungkin mereka dukung. Undang-undang federal yang melarang perantara data membeli atau menjual data personel militer, audit independen terhadap pengungkapan privasi aplikasi, dan larangan yang lebih ketat terhadap kode asing dalam aplikasi yang dipasarkan untuk militer mendapat dukungan yang hampir sama.
Kasus ini mengingatkan pada Fitur Terbaru yang kerap mengumpulkan data pengguna tanpa sepengetahuan mereka. Di Indonesia, pengguna juga perlu waspada terhadap Harga Terbaru dari aplikasi yang mungkin menyembunyikan biaya tersembunyi dalam bentuk data pribadi.
