Google prohíbe las apps de Android que recopilan en secreto datos de ubicación, email y número telefónico

Google retiró de su AppStore varias aplicaciones que contenían software espía después de que saliera a la luz una estafa internacional de datos en la que estaban implicadas empresas extranjeras en la sombra, decenas de millones de usuarios finales y vínculos con el Departamento de Defensa de Estados Unidos.

Al menos una docena de aplicaciones resultaron estar infectadas con un código que recogía los datos confidenciales y la localización de millones de usuarios de Android, según escribieron dos investigadores, Serge Egelman, del Instituto Internacional de Ciencias de la Computación y la Universidad de California, Berkeley, y Joel Reardon, de la Universidad de Calgary.

Ambos descubrieron que el código fue desarrollado por una empresa registrada en Panamá llamada Measurement Systems S. de R.L. cuyo dominio web fue registrado por una empresa estadounidense llamada Vostrom que, a su vez, tenía estrechos vínculos con un contratista de Defensa de Virginia especializado en ciberseguridad, Packet Forensics LLC, según reveló la investigación revelada por el Wall Street Journal.

LEE MÁS:

• La venganza del anti-smartphone
• La demanda de productos electrónicos de consumo disminuyó ‘especialmente en China’, dice el jefe de TSMC
• App de moneda digital rastrea los movimientos oculares del usuario para garantizar que se vean los anuncios

El programa espía se encapsuló como un kit de desarrollo de software (SDK) y se ofrece a los desarrolladores de software desde el ángulo de una forma alternativa de monetización.

Varias aplicaciones, como una aplicación de rezos musulmanes, un lector de códigos QR, una aplicación de detección de trampas en la carretera y muchas otras utilizaron el SDK. Según el informe, Measurement Systems dijo a los posibles desarrolladores que podrían ganar entre 100 y 10.000 dólares al mes, dependiendo de su base de usuarios.

Espionaje de gran alcance

El SDK también permitía a los mineros de datos recopilar credenciales sensibles de los usuarios, como contraseñas, ya que recogía datos almacenados en el portapapeles del usuario y accedía a archivos internos específicos, como los contenidos en las carpetas de almacenamiento de la popular aplicación de chat y comunicaciones de WhatsApp.

Además, Measurements Systems era capaz de acceder simultáneamente a los datos de localización exacta del usuario y a sus identificadores personales, como direcciones de correo electrónico y números de teléfono.

Además, el programa espía tenía la capacidad de espiar los datos de los dispositivos cercanos una vez conectados al mismo router de la red inalámbrica que encontraron Reardon y Egelman.

«Una base de datos que mapea el correo electrónico y el número de teléfono reales de alguien con su historial de localización GPS precisa es particularmente aterradora, ya que podría utilizarse fácilmente para ejecutar un servicio para buscar el historial de localización de una persona con sólo conocer su número de teléfono o su correo electrónico, lo que podría utilizarse para atacar a periodistas, disidentes o rivales políticos», dijo Reardon en una entrada de blog citada por WSJ.

En marzo, antes de hacer públicos los resultados, el dúo informó a Google, tras lo cual el gigante tecnológico inició su propia investigación y retiró de su AppStore decenas de aplicaciones que contenían el código.

Sin embargo, la prohibición por parte de Google de las aplicaciones afectadas no protege de ser espiados a los usuarios que ya tienen la aplicación instalada en sus teléfonos.

Sólo después de que los dos científicos difundieran sus conclusiones a la prensa, descubrieron que el SDK había dejado de funcionar y se había desactivado.

Casos similares

En febrero, Vision Times cubrió la historia de cómo un intermediario de datos, conocido formalmente como X-Mode, vendió millones de dólares en datos de localización sensibles recogidos de aplicaciones de citas y aplicaciones de oración musulmanas a agencias federales. Esta base de datos ahora es propiedad de un contratista del gobierno federal.

X-Mode compró datos de localización de aplicaciones como Bro, una aplicación de citas para «hombres bisexuales, homosexuales y de mentalidad abierta», Perfect365, una aplicación de maquillaje virtual, y Tango, una popular aplicación de retransmisión en directo, así como de docenas de otras aplicaciones que compartían las credenciales de sus clientes en lo que se describió como un comercio de datos de localización multimillonario.

Según The Markup, los datos adquiridos se venderían a agencias federales como el Servicio de Impuestos Internos (IRS) y el Departamento de Seguridad Nacional.

En diciembre, la empresa matriz de Facebook, Meta, prohibió el acceso a sus plataformas a siete presuntas empresas de vigilancia por encargo, después de que esas empresas instalaran programas espía en los teléfonos de los usuarios, extrajeran sus datos confidenciales, piratearan sus dispositivos y vendieran sus datos a países delincuentes.

Meta afirmó haber identificado siete empresas de cibermercenarios que tenían como objetivo 48.000 clientes en más de 100 países. Además, Meta afirma haber eliminado 1.500 perfiles de Facebook e Instagram que podían ser rastreados hasta estas empresas.

En la mayoría de los casos, estas empresas creaban perfiles falsos para utilizarlos como tapadera y así poder recopilar información de los clientes, hackear sus dispositivos o hacerse con su dinero.