Investigadores de seguridad descubrieron dos aplicaciones maliciosas de gestión de archivos en Google Play con un recuento colectivo de instalaciones de más de 1,5 millones que recopilaban datos excesivos del usuario que van mucho más allá de lo necesario para ofrecer la funcionalidad prometida.
Las aplicaciones, ambas del mismo editor, pueden iniciarse sin ninguna interacción del usuario para robar datos confidenciales y enviarlos a servidores en China.
A pesar de haber sido denunciadas a Google, las dos aplicaciones siguen estando disponibles en Google Play en el momento de la publicación.
File Recovery and Data Recovery, identificada como «com.spot.music.filedate» en los dispositivos, tiene al menos 1 millón de instalaciones. El recuento de instalaciones de File Manager es de al menos 500.000 y se identifica en los dispositivos como «com.file.box.master.gkd».
Las dos apps fueron descubiertas por el motor de análisis de comportamiento de la empresa de soluciones de seguridad móvil Pradeo y en su descripción se indica que no recopilan datos del usuario del dispositivo en la sección Seguridad de datos de su entrada en Google Play
Aunque las aplicaciones pueden tener una razón legítima para recopilar algunos de estos datos para garantizar un buen rendimiento y compatibilidad, gran parte de los datos recopilados no son necesarios para las funciones de gestión de archivos o recuperación de datos. Para empeorar las cosas, estos datos se recopilan en secreto y sin obtener el consentimiento del usuario.
Siempre se recomienda comprobar las opiniones de los usuarios antes de instalar una aplicación, prestar atención a los permisos solicitados durante la instalación y confiar únicamente en el software publicado por desarrolladores de confianza.