Το λογισμικό της Pushwoosh, χρησιμοποιούσαν στις ΗΠΑ τα Κέντρα Ελέγχου και Πρόληψης Νοσημάτων (CDC), η κύρια αμερικανική υπηρεσία για την εποπτεία της δημόσιας υγείας, αλλά και ο αμερικανικός στρατός έως πρότινος.
Στη συνέχεια ενημερώθηκαν για τη ρωσική προέλευση του και έπαψαν να το χρησιμοποιούν για λόγους ασφαλείας.
Σύμφωνα με τα δημοσιευμένα έγγραφα της εταιρείας, η Pushwoosh είναι μια εταιρεία παραγωγής λογισμικού με έδρα της στην πόλη Νοβοσιμπίρσκ της Σιβηρίας, απασχολεί άτομα και το 2021 ανέφερε έσοδα 143 εκατ. ρούβλια (ή 2,4 εκατομμύρια δολάρια).
Ωστόσο, στα μέσα κοινωνικής δικτύωσης και στις ρυθμιστικές αρχές των ΗΠΑ, παρουσιάζονταν ως αμερικανική εταιρεία με έδρα σε διάφορες περιόδους κατά καιρούς στην Καλιφόρνια, στο Μέριλαντ και στην Ουάσιγκτον, DC, σύμφωνα με το Reuters.
Στον ιστότοπό της, η Pushwoosh αναφέρει ότι δεν συλλέγει ευαίσθητες πληροφορίες και το Reuters δεν βρήκε στοιχεία που να καταδεικνύουν ότι η Pushwoosh χειρίστηκε εσφαλμένα δεδομένα χρηστών. Ωστόσο, οι ρωσικές αρχές έχουν υποχρεώσει τις τοπικές εταιρείες να παραδίδουν τα δεδομένα χρηστών στις εγχώριες υπηρεσίες ασφαλείας.
Ο ιδρυτής της Pushwoosh, Max Konev, απαντώντας στο Reuters σε email, είπε ότι η εταιρεία του δεν προσπάθησε να κρύψει τη ρωσική της καταγωγή.
«Είμαι περήφανος που είμαι Ρώσος και δεν θα το έκρυβα ποτέ αυτό».
Ο ίδιος πρόσθεσε ότι η εταιρεία του «δεν έχει καμία σχέση με τη ρωσική κυβέρνηση» και αποθηκεύει τα δεδομένα της στις Ηνωμένες Πολιτείες και τη Γερμανία.
Εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας είπαν, ωστόσο, ότι η αποθήκευση δεδομένων στο εξωτερικό δεν θα εμπόδιζε τις ρωσικές υπηρεσίες πληροφοριών από το να υποχρεώσουν μια ρωσική εταιρεία να τους παραχωρήσει πρόσβαση σε αυτά τα δεδομένα.
Η Ρωσία, της οποίας οι δεσμοί με τη Δύση έχουν επιδεινωθεί από την κατάληψη της χερσονήσου της Κριμαίας το 2014 και την έναρξη του πολέμου στην Ουκρανία φέτος, είναι παγκόσμιος ηγέτης στο hacking και την κυβερνοκατασκοπεία, κατασκοπεύοντας ξένες κυβερνήσεις και βιομηχανίες για να επιδιώξει ανταγωνιστικό πλεονέκτημα, σύμφωνα με Δυτικοί αξιωματούχοι.
Ο κώδικας Pushwoosh εγκαταστάθηκε στις εφαρμογές ενός ευρέος φάσματος διεθνών εταιρειών, σημαντικών μη κερδοσκοπικών και κυβερνητικών φορέων, από την παγκόσμια εταιρεία καταναλωτικών αγαθών Unilever και την UEFA, μέχρι το πολιτικά ισχυρό αμερικανικό λόμπι υπέρ της οπλοκατοχής τη National Rifle Association, το Εργατικό Κόμμα της Βρετανίας τον αμερικανικό στρατό και υπηρεσίες του αμερικανικού Δημοσίου.
Οι συναλλαγές της Pushwoosh με κυβερνητικές υπηρεσίες των ΗΠΑ και ιδιωτικές εταιρείες θα μπορούσαν να παραβιάσουν τους νόμους των συμβάσεων και της Ομοσπονδιακής Επιτροπής Εμπορίου των ΗΠΑ (FTC) ή να επιφέρουν κυρώσεις, είπαν στο Reuters 10 νομικοί εμπειρογνώμονες.
Το FBI, το Υπουργείο Οικονομικών των ΗΠΑ και η FTC αρνήθηκαν να σχολιάσουν.
Η Ουάσιγκτον θα μπορούσε να επιλέξει να επιβάλει κυρώσεις στην Pushwoosh και έχει ευρεία εξουσία να το πράξει, δήλωσαν ειδικοί σε κυρώσεις, συμπεριλαμβανομένου πιθανώς μέσω εκτελεστικού διατάγματος του 2021 που δίνει στις Ηνωμένες Πολιτείες τη δυνατότητα να στοχεύσουν τον τεχνολογικό τομέα της Ρωσίας για κακόβουλη διαδικτυακή δραστηριότητα.
Ο κώδικας Pushwoosh έχει ενσωματωθεί σε σχεδόν 8.000 εφαρμογές στα καταστήματα εφαρμογών Google και Apple, σύμφωνα με το Appfigures, έναν ιστότοπο ευφυΐας εφαρμογών.
Ο ιστότοπος της Pushwoosh αναφέρει ότι διαθέτει περισσότερες από 2,3 δισεκατομμύρια συσκευές στη βάση δεδομένων της.
Το Pushwoosh συλλέγει δεδομένα χρηστών, συμπεριλαμβανομένου ακριβούς γεωεντοπισμού, σε ευαίσθητες και κυβερνητικές εφαρμογές, που θα μπορούσαν να επιτρέψουν επεμβατική παρακολούθηση σε κλίμακα, δήλωσε ο Jerome Dangu, συνιδρυτής της Confiant, μιας εταιρείας που παρακολουθεί την κακή χρήση δεδομένων που συλλέγονται σε αλυσίδες εφοδιασμού διαδικτυακών διαφημίσεων.
«Δεν βρήκαμε κανένα σαφές σημάδι παραπλανητικής ή κακόβουλης πρόθεσης στη δραστηριότητα του Pushwoosh, κάτι που σίγουρα δεν μειώνει τον κίνδυνο διαρροής δεδομένων εφαρμογών στη Ρωσία», πρόσθεσε.
Η Google και η Apple από τη μεριά τους είπε ότι παίρνουν στα σοβαρά τα θέματα εμπιστοσύνης και ασφάλειας των χρηστών, αλλά δεν απάντησαν στα ερωτήματα του Reuters.
Ο Keir Giles, ειδικός στη Ρωσία στο λονδρέζικο think tank Chatham House, είπε ότι παρά τις διεθνείς κυρώσεις στη Ρωσία, «σημαντικός αριθμός» ρωσικών εταιρειών εξακολουθεί να έχει συναλλαγές με το εξωτερικό και να συλλέγει προσωπικά δεδομένα ανθρώπων.
Δεδομένων των εσωτερικών νόμων ασφαλείας της Ρωσίας, «δεν θα πρέπει να αποτελεί έκπληξη το γεγονός ότι με ή χωρίς άμεσους δεσμούς με ρωσικές κρατικές εκστρατείες κατασκοπείας, οι εταιρείες που χειρίζονται δεδομένα επιθυμούν να υποτιμήσουν τις ρωσικές ρίζες τους», πρόσθεσε.