Por cuestiones obvias de privacidad, Android no permite que una app acceda a la cámara o a los micrófonos si el usuario no le ha dado permiso explícitamente.
Sin embargo, la firma de seguridad Checkmarx ha descubierto una vulnerabilidad en la app de cámara de Google que hacía posible que apps de terceros grabasen imágenes y sonido sin permiso y las subieran a un servidor. Las apps de cámara de otros fabricantes también pueden estar afectadas.
El informe publicado hoy muestra lo sencillo que es para una app saltarse las restricciones de Android y usar la cámara para tomar fotografías o grabar vídeo. Para poder subir el contenido a un servidor externo, la app necesita permisos de acceso al almacenamiento, que es un permiso bastante común.
Esta vulnerabilidad también permite a un atacante conocer la ubicación del dispositivo si los datos de ubicación se guardaban en cada fotografía, como suele ser habitual.
Para demostrar el riesgo, Checkmarx desarrolló una app aparentemente inocente de previsión metereológica. En realidad, la app tomaba fotografías y grababa vídeos incluso cuando el teléfono estaba bloqueado. Las fotografías y vídeos se enviaban a un servidor controlado por el atacante, junto con cualquier otra imagen o vídeo guardado en el smartphone.
El ataque no era perfecto ya que al grabar vídeo o tomar una fotografía se mostraba la interfaz de la cámara en pantalla, pero la app era capaz de detectar mediante el sensor de proximidad si estaba bocabajo para hacerlo sin que se notara. También podía detectar cuando el teléfono estaba pegado a la oreja para grabar la conversación con los micrófonos.
Google solucionó el fallo en julio con una actualización de su app de cámara y Samsung, cuya app de cámara también estaba afectada, lo ha solucionado igualmente, aunque no sabemos cuándo.
Google ha confirmado que otros fabricantes Android también son vulnerables pero no ha especificado marcas ni modelos.