Imagina que publicas una app, confías en las librerías que usas, y descubres que una de ellas metió código de un país adversario sin que te dieras cuenta. Eso no es un ejercicio teórico: le pasó a desarrolladores de apps orientadas a militares de Estados Unidos.
Un estudio de Purdue University, West Point y Florida International University analizó más de 220 apps diseñadas para personal militar y encontró que el 13% contenía código de compañías en China, Rusia u otras naciones que el Pentágono considera adversarias.
Doce de esas apps tenían HMS Core, un kit de software de Huawei que puede rastrear ubicaciones, mostrar anuncios y almacenar video.
El hallazgo más preocupante no es la cantidad, sino cómo llegó ese código. En al menos un caso, el SDK de Huawei no fue agregado intencionalmente por el desarrollador, sino que viajó como dependencia de una herramienta de notificaciones comercial —una dependencia dentro de otra dependencia, sin que nadie en la cadena de desarrollo lo detectara.
El 40% de las apps analizadas recopilaba o compartía más datos de lo que declaraban en las etiquetas de privacidad de Google Play y la App Store. El 64% incluía SDKs de terceros para analytics y publicidad. Y el 83.5% de los 103 militares encuestados usaba al menos una app con prácticas de datos que les resultaban incómodas.
Esto no es un problema hipotético de privacidad. En abril de 2026, el Comando Central de EE.UU. (CENTCOM) confirmó en una carta al Senador Ron Wyden que había recibido múltiples reportes de adversarios explotando datos de localización comercial para localizar y vigilar a personal estadounidense en Medio Oriente.
Fue la primera confirmación oficial de que tropas en una zona de guerra activa estaban siendo rastreadas a través de la economía de brokers de datos.
El estudio, publicado en Proceedings on Privacy Enhancing Technologies, también encontró que entre el 76 y 83% de los participantes se siente extremadamente incómodo con apps que contienen código de China, Rusia, Irán o Corea del Norte.
Pero no hay forma de saber qué apps llevan ese código: ni Google Play ni la App Store revelan el país de origen del software dentro de cada app.
Los investigadores, liderados por Joshua Shinkle de Purdue, encuestaron a 103 personas entre soldados activos, reservistas, veteranos, civiles del Pentágono y sus familias. Casi dos tercios dijeron haber recibido poca o ninguna orientación institucional sobre el uso de apps personales. Y los participantes reportaron sentirse más cómodos con la recolección de datos cuando la app estaba etiquetada como “militar” —una falsa sensación de seguridad que el estudio expone como contraproducente.
El dato de la dependencia transitiva es el que más debería preocupar a cualquier equipo de desarrollo. Si un SDK de Huawei pudo colarse dentro de una herramienta de notificaciones y terminar en apps de la Guardia Nacional sin que nadie lo notara, el mismo mecanismo aplica a cualquier app corporativa, bancaria o gubernamental en cualquier país.
La cadena de suministro de software es tan opaca que ni siquiera el Pentágono —que declinó hacer comentarios sobre el estudio— tiene visibilidad completa de lo que corre dentro de las apps que usa su propio personal.
Las soluciones que los propios militares consideran más efectivas son simples: advertencias en el teléfono cuando hay código extranjero o desconocido presente, una ley federal que restrinja a los brokers de datos, auditorías independientes de privacidad en las apps, y prohibiciones más estrictas de código extranjero en apps etiquetadas como militares.
Todas son técnicas que ya existen, solo que no se aplican.
