La empresa de seguridad detalla las preocupaciones sobre la privacidad; el desarrollador nos cuenta su versión de la historia

Recapitulemos: el miércoles por la noche (o el jueves por la mañana temprano), informamos sobre una historia publicado en Mobile Beat que salió de la conferencia de seguridad en línea de Black Hat. En la conferencia, Kevin MaHaffey, director de tecnología de la empresa de seguridad móvil Estar atento, habló de una aplicación del desarrollador "jackeey, wallpaper", que básicamente es un portal para descargar fondos de pantalla para su teléfono Android. La historia contaba la historia de "una aplicación de fondo de pantalla móvil de Android cuestionable que recopila sus datos personales y los envía a un sitio misterioso en China, (y) se ha descargado millones de veces".

Hemos estado en contacto con Lookout, que reitera que las aplicaciones, aunque sospechosas, no son necesariamente maliciosas. También tenemos una respuesta del desarrollador en cuestión. Actualizaciones de ambos, tras la pausa.

Aclaración de Lookout

El jueves por la mañana temprano, recibimos un correo electrónico de MaHaffey sobre las aplicaciones "jackeey, wallpaper". Aclaró lo siguiente de la pieza de Mobile Beat, así como nuestra historia:

"Las aplicaciones de papel tapiz que analizamos demostraron enviar varios datos confidenciales a un servidor, incluido el número de teléfono de un dispositivo, el identificador del suscriptor y el correo de voz programado actualmente número. Las aplicaciones que analizamos no accedieron a los mensajes SMS, al historial de navegación o al correo de voz de un dispositivo. contraseña (a menos que un usuario haya programado manualmente el número de correo de voz en el dispositivo para incluir el correo de voz contraseña)."

También agregó que "aunque los datos a los que acceden las aplicaciones de fondos de pantalla son ciertamente sospechosos y provienen de aplicaciones de fondos de pantalla, no estamos diciendo que estas aplicaciones sean maliciosas".

La publicación del blog explica la metodología

El jueves por la tarde, MaHaffey publicó una extensa explicación en el blog de Lookout, detallando el código en cuestión y reiterando que si bien el código en cuestión es sospechoso, "no hay evidencia de comportamiento malicioso". Y esa es una distinción importante para hacer.

¿Así que cuál es el problema? Así es como MaHaffey explica las cosas:

"Hay un código en las aplicaciones de papel tapiz que accede a datos confidenciales. Es importante tener en cuenta que no todas las aplicaciones que acceden a datos confidenciales realmente los transmiten fuera del dispositivo. Para ver qué tipo de información transmiten las aplicaciones de fondos de pantalla a Internet, analizamos el tráfico de red generado por la aplicación. Cuando usamos la aplicación, una solicitud en particular se destacó, una solicitud HTTP sin cifrar a un servidor llamado 'imnet.us'. "

El desarrollador responde

Hoy nos hemos puesto en contacto con el desarrollador de las aplicaciones de fondos de pantalla y le preguntamos exactamente qué información recopilan las aplicaciones y por qué se enviaría dicha información a un servidor. (Que el servidor esté en China probablemente sea irrelevante).

Puede leer la respuesta completa a continuación, gran parte de la cual se considera discutible por la aclaración anterior de Lookout de que el mensaje de texto y el historial de navegación de hecho no estaba recogido. En cuanto a lo recopilado, el desarrollador nos dijo lo siguiente:

Recogí el tamaño de la pantalla para devolver un fondo de pantalla más adecuado para el teléfono. Cada vez más usuarios me enviaron correos electrónicos diciéndome que les encantan mis aplicaciones de fondos de pantalla, porque incluso el "Fondo" no se adapta bien a la pantalla del teléfono.
También recopilé la identificación del dispositivo, el número de teléfono y la identificación del suscriptor, no tiene relación con los datos del usuario. Hay pocas aplicaciones en el mercado de Android que tengan la función de favoritos. Muchos usuarios sugieren que debería proporcionar la función, así que los uso para identificar el dispositivo, para que puedan favoritos los fondos de pantalla de manera más conveniente y reanudar sus favoritos después de reiniciar el sistema o cambiar el teléfono.

Entonces, ahí es donde estamos. Y esto no es necesariamente algo nuevo para Android. Las aplicaciones pueden tener acceso a partes de su teléfono que no necesariamente necesitan, pero sin intención de malicia. (Ahí es donde estos recientes "¡¡¡El X por ciento de las aplicaciones de Android pueden acceder a sus datos personales !!!" de donde provienen las historias). Es solo una cuestión de codificación e intención, ¿verdad? Dicho esto, debe prestar atención a la advertencia que recibe cada vez que instala una aplicación. Nuestro ejemplo anterior suena cierto: si, digamos, una calculadora dijera que necesitaba ver mis mensajes de texto, me preocuparía. Mucho. Es una aplicación mal codificada o no es buena. De cualquier manera, no lo quiero en mi teléfono.

Esto es todo FUD? Cuando una empresa de seguridad dice que debemos ser cautelosos, somos cautelosos, y el hecho de que una empresa de seguridad gane dinero vendiendo software de seguridad no se nos escapa. Pero tómate tu tiempo y vuelve a leer la publicación de MaHaffey. Y lea la respuesta del desarrollador nuevamente a continuación.

La moraleja de la historia es tener en cuenta lo que descargas, leer todo lo que puedas y estar al tanto de las cosas. MaHaffey de Lookout lo dice también, y termina con "En general, nuestro objetivo es ayudar a los usuarios y desarrolladores por igual en todas las plataformas móviles para ser responsables y vigilantes para garantizar un dispositivo móvil seguro experiencia."

En efecto.

Respuesta de Jackeey