O Pentágono admitiu oficialmente que forças adversárias estão utilizando dados de localização coletados por anúncios em smartphones para rastrear e monitorar militares dos Estados Unidos em zonas de conflito no Oriente Médio. O reconhecimento, feito pelo Comando Central dos EUA (CENTCOM) em resposta a uma solicitação de um grupo bipartidário de 14 congressistas, confirma um problema que especialistas em segurança vinham denunciando há quase uma década. A gravidade da situação é amplificada pelo fato de que o próprio Departamento de Defesa norte-americano sabia da vulnerabilidade desde 2016, mas falhou em implementar medidas eficazes de contenção.
Como dados de anúncios em celulares se tornaram uma arma de rastreamento militar
O mecanismo é tão simples quanto assustador. Aplicativos instalados em smartphones — de previsão do tempo a jogos e redes sociais — solicitam acesso à localização GPS do dispositivo. Esse dado, combinado a um identificador único de publicidade (Advertising ID ou IDFA/GAID), é enviado para plataformas de mediação e, em seguida, para corretores de dados (data brokers). Esses corretores agregam, tratam e vendem pacotes de informações de localização para qualquer comprador, sem qualquer verificação de identidade ou finalidade.
Ao adquirir esses pacotes, agências de inteligência estrangeiras podem identificar a concentração de militares, seus padrões de deslocamento, rotas de patrulha e até mesmo os horários de maior movimento dentro de bases operacionais. A carta enviada pelo grupo de congressistas ao CIO do Pentágono, Kirsten Davies, alerta que esses dados podem ser usados para direcionar ataques com mísseis, drones e dispositivos explosivos improvisados (IEDs). Em sua resposta, datada de 14 de abril de 2026, o CENTCOM confirmou que recebeu múltiplos relatórios de ameaças indicando que adversários estão de fato utilizando dados comerciais de localização para alvejar e monitorar pessoal dos EUA na área de operações, que inclui o Golfo Pérsico — região onde, desde fevereiro de 2026, forças americanas e iranianas estão em confronto direto na operação “Epic Fury”.
O reconhecimento tardio do Pentágono e a cronologia de um problema negligenciado
A admissão do CENTCOM é histórica justamente por ser a primeira vez que o Pentágono reconhece oficialmente o uso de dados comerciais de localização para fins de targeting militar. No entanto, o problema não é novo. Uma linha do tempo dos eventos revela uma década de negligência:
- 2016: A empresa PlanetRisk, contratada pelo Departamento de Defesa para desenvolver um software de teste, descobre que consegue rastrear forças especiais dos EUA usando dados de localização disponíveis no mercado. A equipe rastreia dispositivos desde bases nos EUA até uma fábrica de cimento abandonada na Síria, então usada como posto avançado por forças especiais. O caso é reportado ao comando das operações especiais.
- 2018: O calor (heatmap) gerado pelo aplicativo de fitness Strava expõe mundialmente a localização de bases militares americanas no exterior, incluindo rotas de corrida de soldados dentro de instalações secretas.
- 2024: O presidente francês Emmanuel Macron tem seus padrões de deslocamento rastreados publicamente a partir do Strava, evidenciando que nem mesmo chefes de Estado estão imunes ao vazamento de dados de localização.
- Abril de 2026: O CENTCOM finalmente responde ao Congresso confirmando o uso de dados comerciais por adversários para monitorar militares dos EUA.
- Maio de 2026: O Exército dos EUA anuncia o fim do programa DMUC (Defense Mobile User Capability), que fornecia smartphones gerenciados, e migra para BYOD (Bring Your Own Device), transferindo o risco para os dispositivos pessoais dos militares.
A carta dos congressistas critica duramente a postura do Pentágono, afirmando que “altos funcionários do Departamento de Defesa não trataram essa ameaça à segurança operacional e à proteção de tropas como uma emergência de máxima prioridade”.
O paradoxo do BYOD: mais riscos em pleno reconhecimento da ameaça
O timing da admissão do CENTCOM coincide com uma decisão controversa do Exército americano. Em 11 de maio de 2026, foi anunciado que o suporte ao programa DMUC seria encerrado em 30 de maio, e que os soldados e funcionários civis deveriam devolver os dispositivos fornecidos pelo governo. A alternativa oficial é o uso de smartphones pessoais para acesso a sistemas corporativos, com exceções apenas para patentes superiores.
O problema é que, mesmo nos dispositivos gerenciados pelo Pentágono, as configurações de MDM (Mobile Device Management) não desabilitavam o envio de Advertising IDs. Embora a veiculação de anúncios personalizados fosse suprimida, os identificadores publicitários continuavam fluindo para o ecossistema de data brokers. O próprio CENTCOM reconhece, em sua resposta, que as diretrizes atuais se limitam a “recomendações” como “desativar a localização quando não for necessária” e “verificar configurações de privacidade periodicamente” — medidas que o próprio órgão admite serem insuficientes para bloquear completamente o vazamento de dados.
Com a transição para BYOD, o controle sobre esses fluxos de dados se torna ainda mais precário. Dispositivos pessoais estão repletos de aplicativos que coletam localização, muitos com permissões excessivas, e o soldado médio não tem treinamento ou ferramentas para auditar esse tráfego. O resultado é que a superfície de exposição aumenta justamente no momento em que a ameaça é oficialmente confirmada.
O que o caso revela sobre a privacidade de todos os usuários de smartphones
Embora o foco imediato seja a segurança nacional, o mecanismo descrito pelo CENTCOM se aplica integralmente a todos os usuários de smartphones. A mesma arquitetura que permite a um adversário estrangeiro rastrear soldados em zona de guerra é a que permite a qualquer comprador — seja ele um governo, uma empresa de seguros ou um criminoso — mapear os hábitos de qualquer cidadão.
O deputado Pat Harrigan, ex-membro das forças especiais, foi direto ao apontar o navegador Chrome como parte do problema: “Enquanto esses navegadores baseados em dados permanecerem em dispositivos governamentais, estaremos essencialmente entregando armas ao inimigo”. O Google rebateu afirmando que o Chrome possui recursos de segurança de ponta e que a empresa sempre defendeu regulações mais rígidas para data brokers. O senador Ron Wyden, por sua vez, defendeu que “é hora de tratar a indústria de anúncios como uma ameaça à segurança nacional”.
A diferença entre um soldado e um civil, nesse cenário, é apenas a consciência de que seus dados estão sendo vendidos. O militar agora sabe que seu celular é um farol para ataques. O cidadão comum, na maioria das vezes, não tem ideia de que sua localização precisa pode ser adquirida por qualquer pessoa com um cartão de crédito.
As medidas prometidas e o que ainda falta fazer
O Pentágono informou que está migrando para uma nova solução de MDM que deveria ter sido concluída no início de maio de 2026, mas não confirmou se a implementação foi finalizada. A carta dos congressistas exige que o Departamento de Defesa adote salvaguardas concretas: desabilitar o envio de Advertising IDs em todos os dispositivos governamentais, exigir que aplicações oficiais não compartilhem dados de localização com terceiros, e estabelecer um programa de treinamento obrigatório para todos os militares sobre os riscos de dados comerciais.
O caso expõe uma verdade incômoda: a indústria de publicidade digital criou um mercado de vigilância em massa que opera à margem de qualquer controle estatal. A diferença entre um alvo militar e um civil é apenas a intenção de quem compra os dados. E, como demonstram os eventos dos últimos dez anos, nem mesmo a maior potência militar do mundo conseguiu proteger seus próprios soldados dessa engrenagem.
