O governo dos EUA que sancionou a Huawei instalou o SDK da Huawei no App oficial da Casa Branca?

Autor: Deep Tide TechFlow

O Governo de Trump lançou a 27 de março uma aplicação oficial de notícias, alegando que permite aos utilizadores ligar-se diretamente às informações da Casa Branca «sem filtros».

Mas várias auditorias de segurança independentes revelaram, no espaço de 48 horas, um facto bastante irónico: o pacote de instalação desta app incorpora componentes de tracking da Huawei — uma empresa chinesa que o próprio Governo dos EUA colocou na lista negra de sanções por motivos de segurança nacional.

Além disso, a app também exige uma série de permissões do sistema muito para além do que seria necessário para uma aplicação de notícias, como localização GPS, reconhecimento por impressão digital e arranque automático ao ligar o dispositivo, entre outras; rapidamente, a plataforma X colocou avisos de alerta nas notas da comunidade nos seus posts oficiais.

Uma app que publica comunicados de imprensa e transmissões em direto do presidente — por que razão precisa de ler as tuas impressões digitais?

Depois de o investigador de segurança Sam Bent realizar uma análise retrospetiva da app da Casa Branca (versão 47.0.1), procedeu a uma varredura através do Exodus Privacy. O Exodus Privacy é uma plataforma de auditoria de privacidade de aplicações Android open source, usada especificamente para detetar rastreadores embutidos na app e pedidos de permissões; é amplamente utilizada na comunidade de investigação de privacidade. Os resultados da varredura indicaram que a app da Casa Branca inclui 3 rastreadores embutidos, um dos quais é o Huawei Mobile Services Core (componente central de serviços móveis da Huawei).

O IBTimes reportou de seguida, de forma independente, a mesma descoberta; e o analista jurídico mitchthelawyer publicou também no Substack um texto a confirmar as conclusões do relatório da Exodus. Três fontes independentes apontam para o mesmo facto: a app oficial da Casa Branca inclui efetivamente código do SDK da Huawei.

Convém esclarecer que o Huawei Mobile Services Core, por si só, é um SDK de push e de análise fornecido pela Huawei para o ecossistema global Android; muitas apps orientadas para o mercado internacional o incorporam para serem compatíveis com telemóveis Huawei.

A sua presença no pacote de instalação não significa que esteja, ativamente, a enviar dados para a Huawei. Mas o problema é este:

O Governo dos EUA, por razões de segurança nacional, proíbe as empresas nacionais de fazerem negócios com a Huawei, e, ainda assim, a sua própria app oficial do presidente vem com código da Huawei. As observações no Hacker News foram certeiras: isto tem muito provavelmente a ver com a configuração por defeito de um fornecedor subcontratado; a liderança da Casa Branca poderá nem sequer estar ciente da existência do SDK da Huawei — «mas, talvez, seja ainda mais preocupante do que o facto de o ter incorporado propositadamente».

Lista de permissões digna de uma ferramenta de sistema, mas política de privacidade que fica pelo caminho até um ano antes

As permissões pedidas pela app da Casa Branca incluem: localização GPS exata, reconhecimento biométrico por impressão digital, leitura e escrita no armazenamento, arranque automático ao ligar, janelas flutuantes a sobreporem outras aplicações, varrimento de redes Wi‑Fi e leitura de emblemas/ícones de notificações. Como comparação, a AP News fornece notificações de notícias e cobertura de catástrofes semelhantes, mas as permissões necessárias são muito inferiores às desta.

O relatório do IBTimes indica que o programador da app reconheceu que o plugin técnico originalmente usado para remover permissões de localização «claramente não removeu qualquer código relacionado».

O problema maior é a política de privacidade. Confirmado em cruzamento pelas publicações do IBTimes e do mitchthelawyer no Substack, a política de privacidade aplicável à app da Casa Branca foi atualizada pela última vez em 20 de janeiro de 2025, ou seja, um ano inteiro antes de a app ser lançada. Esta política cobre apenas o acesso ao site, a subscrição de e‑mails e as páginas de redes sociais; não menciona, em parte alguma, conteúdos como apps móveis, tracking GPS, recolha de dados de localização, acesso a biometria e afins. Quando o utilizador clica em «Concordo», concorda com um documento que, na verdade, não abrange o comportamento real da app.

Cópias de argumentação promocional embutidas e portas de denúncia de imigração

A app traz um botão de funcionalidade «Enviar mensagem ao Presidente». Ao clicar, o campo do texto da mensagem é preenchido automaticamente com uma frase: «Greatest President Ever!» («O Melhor Presidente de Todos os Tempos!»). Se o utilizador optar por enviar, o sistema recolherá o seu nome e número de telemóvel.

Além disso, a app integra também um botão de denúncia do ICE. ICE é o Immigration and Customs Enforcement (Serviço de Imigração e Fiscalização Aduaneira dos EUA), responsável pela aplicação das leis de imigração e por operações de deportação. Ao clicar nesse botão, é redirecionado diretamente para a página de denúncia de informadores do ICE, permitindo que o utilizador denuncie anonimamente pessoas suspeitas de imigração ilegal nas proximidades.

Uma ferramenta oficial de comunicação de notícias, no papel, que ao mesmo tempo assume a recolha de dados para propaganda política e denúncias de aplicação da lei. Menos de dois dias após o lançamento, os utilizadores na plataforma X colocaram nas publicações promocionais oficiais da Casa Branca uma nota da comunidade (Community Note), alertando outros utilizadores para os riscos de privacidade.

Não é só a Casa Branca: a app do FBI faz publicidade, e a FEMA precisa de 28 permissões

Na mesma investigação, Sam Bent realizou auditorias de Exodus a apps de várias agências federais e descobriu que a app da Casa Branca está longe de ser um caso isolado.

A app oficial do FBI, «myFBI Dashboard», pede 12 permissões e inclui 4 rastreadores, incluindo o Google AdMob, um SDK de campanha publicitária. Uma app oficial de uma agência federal de aplicação da lei, ao mesmo tempo que lê as informações de identidade do utilizador no telemóvel, também veicula anúncios segmentados.

A app da FEMA (Federal Emergency Management Agency) pede 28 permissões; a funcionalidade central limita-se a apresentar alertas meteorológicos e localizações de abrigos.

A app de controlo de passaportes do U.S. Customs and Border Protection (CBP) pede 14 permissões, das quais 7 são classificadas como «permissões perigosas», incluindo tracking de localização em segundo plano (continuar a acompanhar após a app ser encerrada) e leitura e escrita completas no armazenamento. O ecossistema de aplicações do CBP recolhe dados faciais e conserva-os por um período de até 75 anos, partilhando-os entre o Department of Homeland Security, o ICE e o FBI.

Num nível ainda mais profundo de aquisição de dados, o Department of Homeland Security, o FBI, o Department of Defense e a Drug Enforcement Administration compram diariamente mais de 15 mil milhões de pontos de dados de localização através de corretores comerciais de dados como a Venntel, abrangendo mais de 250 milhões de dispositivos, sem necessidade de mandado de busca. Na prática, esta operação contorna a proteção de privacidade dos dados de localização do telemóvel estabelecida pelo Supremo Tribunal dos EUA no caso Carpenter v. United States em 2018.

Vários comentadores no Hacker News resumiram a lógica comum destas apps: o Governo embrulha conteúdo público que poderia ser publicado via páginas web ou RSS em distribuição de apps nativas; a única explicação razoável é obter permissões do sistema a que o navegador não dá acesso — incluindo localização em segundo plano, biometria, leitura da identidade do dispositivo e arranque automático ao ligar.

O relatório da U.S. Government Accountability Office (GAO) de 2023 indica que, das 236 recomendações de privacidade e segurança emitidas desde 2010, quase 60% continuam por implementar. O Congresso já foi aconselhado duas vezes a aprovar legislação abrangente de privacidade na Internet, mas até hoje nada foi feito.