Los expertos de Oversecured, especializados en seguridad de aplicaciones móviles, analizaron varios elementos de Google Play. Se centraron en aplicaciones que supuestamente ayudan a los usuarios con su condición mental. Resultó que contenían muchos agujeros. En total, se detectaron más de 1.500 vulnerabilidades.
Aplicaciones con fugas en Google Play
En total, los expertos de Oversecured detectaron hasta 1.575 vulnerabilidades en aplicaciones móviles en Play Store.de los cuales consideraron 54 como graves, 538 como medio y 983 como de bajo riesgo para los datos de los usuarios. Te recordamos que estamos hablando de aplicaciones que pueden calificarse como médicas, por lo que pueden contener datos sensibles sobre las enfermedades de los usuarios.
- Seguimiento de estados de ánimo y hábitos (más de 10 millones de instalaciones)
- Chatbot de terapia con IA (más de 1 millón de instalaciones)
- Plataforma de salud emocional de IA (más de 1 millón de instalaciones)
- Comunidad de terapia y apoyo en línea (más de 1 millón de instalaciones)
- Rastreador de salud y síntomas (más de 500.000 instalaciones)
- Aplicación de ansiedad basada en TCC (más de 500.000 instalaciones)
- Chatbot AI CBT (más de 500.000 instalaciones)
- Herramienta de gestión de la depresión (más de 100.000 instalaciones)
- Autoayuda para ansiedad y fobias (más de 50 mil instalaciones)
- Gestión del estrés militar (más de 50.000 instalaciones)
Los problemas más importantes de las aplicaciones mencionadas incluyen: la posibilidad de interceptar datos de inicio de sesión, guardar datos localmente de manera que sean accesibles para otras aplicaciones o utilizar la clase criptográficamente peligrosa «java.util.Random» para generar tokens y claves de sesión, lo que los hace más fáciles de predecir.
Además, la mayoría de las aplicaciones analizadas no tienen un mecanismo de detección de raíz. Por lo tanto, en un dispositivo rooteado, el acceso a datos confidenciales es aún más fácil.
Los expertos recomiendan utilizar únicamente aplicaciones probadas. También deberíamos limitar los datos que introducimos en este tipo de servicios y comprobar los permisos de las apps.
