Más de 1,000 apps de Android recabaron datos de sus usuarios sin permiso

Cuando instalas una aplicación en tu celular ésta solicita permisos para acceder a cierta información del equipo así como para usar ciertas partes como la cámara y/o micrófono. Los permisos en las aplicaciones de Android tienen la función de ser guardianes de la información que otorga tu teléfono. Si no quieres que una aplicación tenga la capacidad de revisar cierta información como tu historial de llamadas debes tener la posibilidad de negarle el acceso. Pero incluso cuando no habilitamos ciertas opciones o permisos, muchas apps encuentran la manera de acceder a tus datos. Investigadores descubrieron que más de 1,000 aplicaciones hicieron caso omiso de las restricciones, permitiendo la sustracción de información como ubicación geográfica exacta, identificadores de teléfono, sin consentimiento de los usuarios.

Las compañías de tecnología tienen montañas de información personal de millones de personas, incluyendo dónde han estado, quiénes son sus amigos y cuáles son sus intereses.

Los legisladores están intentando contener esta situación en diferentes países con legislación de privacidad. Los permisos de las aplicaciones son, supuestamente, para controlar la información que cedes. Apple y Google han lanzado nuevas herramientas para mejorar la privacidad de los usuarios, pero las aplicaciones siguen encontrando maneras para esquivar esas protecciones.

Tras una investigación realizada por personal del Instituto Internacional de Ciencias Computacionales (ICSI, por sus siglas en inglés) descubrió hasta 1,325 aplicaciones de Android que recaban información de los dispositivos donde están incluso después de que los usuarios explícitamente les negaron los permisos. Serge Egelman, director de seguridad utilizable e investigación de privacidad en el ICSI, presentó el estudio a finales de junio en la conferencia de privacidad de la Comisión Federal de Comercio de Estados Unidos.

“Fundamentalmente, los consumidores cuentan con muy pocas herramientas y señales que puedan usar para controlar razonablemente su privacidad y tomar decisiones al respecto”, señaló Egelman en la conferencia. “Si los desarrolladores de apps pueden darle la vuelta al sistema, entonces pedirle permisos a los consumidores es relativamente un sinsentido”.

Egelman dijo que los investigadores notificaron a Google respecto de estos problemas en septiembre pasado, lo mismo que la Comisión Federal de Comercio. Google dijo que atendería esos asuntos con Android Q, el sistema operativo cuya versión oficial se espera este año.

La actualización atenderá el problema al esconder la información de ubicación en fotos de las aplicaciones y de exigir a cualquier app que use el Wi-Fi que necesita un permiso para acceder la información de ubicación, según dijo Google.

El estudio observó más de 88,000 aplicaciones de la tienda Google Play, rastreó cómo transferían la información de los apps cuando se negaban los permisos. Los 1,325 apps que quebrantaron los permisos en Android utilizaron herramientas ocultas en su código para obtener información personal que podría sustraer de fuentes como las conexiones de Wi-Fi y la metadata almacenada en las fotografías.

Algunas aplicaciones dependían de otras aplicaciones que sí tuvieran el permiso para ver la información personal, siendo parásitos informáticos de los permisos otorgados a un tercero como los identificadores de llamadas. Estos apps podrían leer a través de archivos desprotegidos en la tarjeta SD de un dispositivo y recabar la información a la cual tenían negado el permiso. Entonces, si permitías que otra aplicación tuviera acceso a tu información personal y ellos la guardaban en un archivo en la tarjeta SD, las aplicaciones espías podían entrar y tomar esa información.

Mientras que hubo solo unos 13 apps haciendo esto, estaban instalados más de 17 millones de veces, de acuerdo con los investigadores.

Hay 153 apps que tienen esa capacidad, descubrieron en la investigación, incluyendo algunas aplicaciones de salud y navegación de un fabricante de celulares.

Egelman dijo que dará a conocer los detalles con una lista de las 1,325 que descubrieron los investigadores cuando presente el estudio en la conferencia de Seguridad Usenix en agosto.