Los Centros para el Control y la Prevención de Enfermedades (CDC), la principal agencia de Estados Unidos para la lucha contra las principales amenazas sanitarias, dijeron que habían sido engañados al creer que Pushwoosh tenía su sede en la capital estadounidense. Tras conocer sus raíces rusas a través de Reuters, eliminó el software de Pushwoosh de siete aplicaciones de uso público, alegando problemas de seguridad.

El Ejército de Estados Unidos dijo que había retirado una aplicación que contenía el código de Pushwoosh en marzo por las mismas preocupaciones. Esa app era utilizada por los soldados de una de las principales bases de entrenamiento de combate del país.

Según los documentos de la empresa presentados públicamente en Rusia y revisados por Reuters, Pushwoosh tiene su sede en la ciudad siberiana de Novosibirsk, donde está registrada como una empresa de software que también se dedica al procesamiento de datos. Emplea a unas 40 personas y declaró unos ingresos de 143.270.000 rublos (2,4 millones de dólares) el año pasado. Pushwoosh está registrada ante el gobierno ruso para pagar impuestos en Rusia.

Sin embargo, en las redes sociales y en los archivos reguladores de Estados Unidos, se presenta como una empresa estadounidense, con sede en varias ocasiones en California, Maryland y Washington, D.C., según descubrió Reuters.

Pushwoosh proporciona código y soporte de procesamiento de datos para desarrolladores de software, permitiéndoles perfilar la actividad en línea de los usuarios de aplicaciones para teléfonos inteligentes y enviar notificaciones push a medida desde los servidores de Pushwoosh.

En su página web, Pushwoosh dice que no recoge información sensible, y Reuters no encontró ninguna prueba de que Pushwoosh haya manejado mal los datos de los usuarios. Sin embargo, las autoridades rusas han obligado a las empresas locales a entregar los datos de los usuarios a las agencias de seguridad nacionales.

El fundador de Pushwoosh, Max Konev, dijo a Reuters en un correo electrónico de septiembre que la empresa no había intentado ocultar su origen ruso. "Estoy orgulloso de ser ruso y nunca lo ocultaría".

Afirmó que la empresa "no tiene ningún tipo de relación con el gobierno ruso" y que almacena sus datos en Estados Unidos y Alemania.

Sin embargo, los expertos en ciberseguridad dijeron que almacenar los datos en el extranjero no impediría que las agencias de inteligencia rusas obligaran a una empresa rusa a ceder el acceso a esos datos.

Rusia, cuyos lazos con Occidente se han deteriorado desde su toma de la península de Crimea en 2014 y su invasión de Ucrania este año, es un líder mundial en piratería informática y ciberespionaje, espiando a gobiernos e industrias extranjeras para buscar una ventaja competitiva, según funcionarios occidentales.

ENORME BASE DE DATOS

El código de Pushwoosh se instaló en las aplicaciones de un amplio abanico de empresas internacionales, organizaciones sin ánimo de lucro influyentes y organismos gubernamentales, desde la empresa global de bienes de consumo Unilever Plc y la Unión de Asociaciones Europeas de Fútbol (UEFA) hasta el políticamente poderoso lobby estadounidense de las armas, la Asociación Nacional del Rifle (NRA), y el Partido Laborista británico.

Los negocios de Pushwoosh con agencias gubernamentales y empresas privadas de Estados Unidos podrían violar las leyes de contratación y de la Comisión Federal de Comercio (FTC) de Estados Unidos o provocar sanciones, según dijeron a Reuters 10 expertos legales. El FBI, el Tesoro estadounidense y la FTC declinaron hacer comentarios.

Jessica Rich, ex directora de la Oficina de Protección al Consumidor de la FTC, dijo que "este tipo de casos cae justo dentro de la autoridad de la FTC", que reprime las prácticas desleales o engañosas que afectan a los consumidores estadounidenses.

Washington podría optar por imponer sanciones a Pushwoosh y tiene una amplia autoridad para hacerlo, dijeron los expertos en sanciones, incluso posiblemente a través de una orden ejecutiva de 2021 que da a Estados Unidos la capacidad de apuntar al sector tecnológico de Rusia sobre la actividad cibernética maliciosa.

El código de Pushwoosh se ha incrustado en casi 8.000 aplicaciones en las tiendas de aplicaciones de Google y Apple, según Appfigures, un sitio web de inteligencia de aplicaciones. El sitio web de Pushwoosh afirma que cuenta con más de 2.300 millones de dispositivos en su base de datos.

"Pushwoosh recopila datos de los usuarios, incluida la geolocalización precisa, en aplicaciones sensibles y gubernamentales, lo que podría permitir un seguimiento invasivo a escala", dijo Jerome Dangu, cofundador de Confiant, una firma que rastrea el mal uso de los datos recopilados en las cadenas de suministro de publicidad en línea.

"No hemos encontrado ningún signo claro de intención engañosa o maliciosa en la actividad de Pushwoosh, lo que ciertamente no disminuye el riesgo de que los datos de la aplicación se filtren a Rusia", añadió.

Google dijo que la privacidad era un "gran objetivo" para la empresa, pero no respondió a las peticiones de comentarios sobre Pushwoosh. Apple dijo que se toma muy en serio la confianza y la seguridad de los usuarios, pero se negó igualmente a responder a las preguntas.

Keir Giles, experto en Rusia del centro de estudios londinense Chatham House, dijo que, a pesar de las sanciones internacionales impuestas a Rusia, un "número considerable" de empresas rusas seguía comerciando en el extranjero y recopilando datos personales de la gente.

Dadas las leyes de seguridad interna de Rusia, "no debería sorprender que, con o sin vínculos directos con las campañas de espionaje del Estado ruso, las empresas que manejan datos estén dispuestas a restar importancia a sus raíces rusas", dijo.

PROBLEMAS DE SEGURIDAD

Después de que Reuters planteara los vínculos rusos de Pushwoosh a los CDC, la agencia sanitaria retiró el código de sus aplicaciones porque "la empresa presenta un problema potencial de seguridad", dijo la portavoz Kristen Nordlund.

"Los CDC creían que Pushwoosh era una empresa con sede en el área de Washington, D.C.", dijo Nordlund en un comunicado. La creencia se basó en "representaciones" hechas por la empresa, dijo, sin dar más detalles.

Las aplicaciones de los CDC que contenían el código de Pushwoosh incluían la aplicación principal de la agencia y otras creadas para compartir información sobre una amplia gama de problemas de salud. Una de ellas era para los médicos que tratan enfermedades de transmisión sexual. Aunque los CDC también utilizaban las notificaciones de la empresa para asuntos sanitarios como COVID, la agencia dijo que "no compartía los datos de los usuarios con Pushwoosh".

El Ejército dijo a Reuters que retiró una aplicación que contenía Pushwoosh en marzo, citando "problemas de seguridad". No dijo la amplitud con la que la app, que era un portal de información para uso en su Centro Nacional de Entrenamiento (NTC) en California, había sido utilizada por las tropas.

El NTC es un importante centro de entrenamiento de batalla en el desierto de Mojave para los soldados antes del despliegue, lo que significa que una violación de datos allí podría revelar los próximos movimientos de tropas en el extranjero.

El portavoz del Ejército de Estados Unidos, Bryce Dubee, dijo que el Ejército no había sufrido ninguna "pérdida operativa de datos", y añadió que la aplicación no se conectaba a la red del Ejército.

Algunas grandes empresas y organizaciones, entre ellas la UEFA y Unilever, dijeron que terceras partes configuraron las aplicaciones por ellos, o que pensaron que estaban contratando a una empresa estadounidense.

"No tenemos una relación directa con Pushwoosh", dijo Unilever en un comunicado, añadiendo que Pushwoosh fue eliminado de una de sus aplicaciones "hace algún tiempo".

La UEFA dijo que su contrato con Pushwoosh era "con una empresa estadounidense". La UEFA declinó decir si conocía los vínculos rusos de Pushwoosh, pero dijo que estaba revisando su relación con la empresa tras ser contactada por Reuters.

La ANR dijo que su contrato con la empresa terminó el año pasado y que "no tenía conocimiento de ningún problema".

El Partido Laborista británico no respondió a las solicitudes de comentarios.

"Los datos que recoge Pushwoosh son similares a los que podrían recoger Facebook, Google o Amazon, pero la diferencia es que todos los datos de Pushwoosh en Estados Unidos se envían a servidores controlados por una empresa (Pushwoosh) en Rusia", dijo Zach Edwards, un investigador de seguridad, que detectó por primera vez la prevalencia del código de Pushwoosh mientras trabajaba para Internet Safety Labs, una organización sin ánimo de lucro.

Roskomnadzor, el regulador estatal de las comunicaciones en Rusia, no respondió a una solicitud de Reuters para hacer comentarios.

DIRECCIONES FALSAS, PERFILES FALSOS

En los archivos reguladores de Estados Unidos y en las redes sociales, Pushwoosh nunca menciona sus vínculos con Rusia. La empresa menciona "Washington, D.C." como su ubicación en Twitter y afirma que la dirección de su oficina es una casa en el suburbio de Kensington, Maryland, según sus últimos archivos de corporaciones estadounidenses presentados al secretario de estado de Delaware. También indica la dirección de Maryland en sus perfiles de Facebook y LinkedIn.

La casa de Kensington es el hogar de un amigo ruso de Konev que habló con un periodista de Reuters bajo condición de anonimato. Dijo que no tenía nada que ver con Pushwoosh y que sólo había accedido a permitir que Konev utilizara su dirección para recibir correo.

Konev dijo que Pushwoosh había empezado a utilizar la dirección de Maryland para "recibir correspondencia comercial" durante la pandemia de coronavirus.

Dijo que ahora opera Pushwoosh desde Tailandia, pero no proporcionó ninguna prueba de que esté registrada allí. Reuters no pudo encontrar una empresa con ese nombre en el registro de empresas tailandés.

Pushwoosh nunca mencionó que tuviera una sede en Rusia en sus ocho presentaciones anuales en el estado estadounidense de Delaware, donde está registrada, una omisión que podría violar la ley estatal.

En su lugar, Pushwoosh indicó una dirección en Union City, California, como su principal lugar de actividad entre 2014 y 2016. Esa dirección no existe, según los funcionarios de Union City.

Pushwoosh utilizó cuentas de LinkedIn supuestamente pertenecientes a dos ejecutivos con sede en Washington D.C. llamados Mary Brown y Noah O'Shea para solicitar ventas. Pero ni Brown ni O'Shea son personas reales, según descubrió Reuters.

La que pertenecía a Brown era en realidad de una profesora de baile con sede en Austria, tomada por una fotógrafa en Moscú, que dijo a Reuters que no tenía ni idea de cómo había acabado en el sitio.

Konev reconoció que las cuentas no eran auténticas. Dijo que Pushwoosh contrató a una agencia de marketing en 2018 para crearlas en un intento de utilizar las redes sociales para vender Pushwoosh, no para enmascarar los orígenes rusos de la empresa.

LinkedIn dijo que había eliminado las cuentas tras ser alertado por Reuters.