Cientos de apps retiradas de la App Store de Apple por recoger datos privados

Apple está pasando una mala racha en lo que respecta a la seguridad y privacidad de su supuestamente “invulnerable” ecosistema móvil. Hace unos días saltaba el asunto de las apps infectadas por el malware XcodeGhost en su propia tienda, y ahora parece que la compañía de Tim Cook ha tenido que retirar más de 250 aplicaciones que estaban robando datos personales de los usuarios utilizando lo que se conoce como “APIs” privadas (interfaces de programación o bloques de código ya creados que usan los desarrolladores para integrar funciones en sus programas) y que no son las que proporciona Apple en sus herramientas de programación. El servicio de análisis de la compañía SourceDNA fue el primero en detectar esta actividad maliciosa y descubrió que la plataforma de publicidad china Youmi estaba recopilando números de serie de teléfonos, listas de apps instaladas, así como la dirección de correo electrónico que los usuarios utilizan en su identificador Apple ID.

En total, según 9to5mac, las 256 apps maliciosas podrían haberse descargado un millón de veces y la mayoría de las instalaciones habrían tenido lugar en China. Según SourceDNA, el número de afectados es relativamente pequeño, pero lo que preocupa a los investigadores en seguridad es que sí el SDK de Youmi (el programa que se inserta en la app y que extrae los datos) ha podido pasar desapercibido con tanta facilidad, es probable que muchas otras apps puedan hacer lo mismo utilizando técnicas similares. 

Como ha sucedido hace unos días, Apple ha admitido el ataque, aunque únicamente ha explicado que está trabajando para que los desarrolladores puedan tener cuanto antes versiones limpias de las apps afectadas. El comunicado de Apple al respecto dice lo siguiente:

“Hemos identificado un grupo de aplicaciones que están utilizando un (kit de desarrollo) SDK de publicidad de terceros, desarrollado por Youmi, un proveedor de la publicidad móvil, que utiliza API privadas para recopilar información confidencial, como las direcciones de correo electrónico de los usuarios, los identificadores de dispositivos y datos de la ruta a su servidor de la empresa. Esto es una violación de las normas de la seguridad y privacidad. Las aplicaciones que utilizan el SDK de Youmi se han retirado de la App Store y las nuevas aplicaciones presentadas a la App Store que usen este SDK serán rechazadas. Estamos trabajando en estrecha colaboración con los desarrolladores para ayudarles a obtener de nuevo y de manera rápida versiones actualizadas de sus aplicaciones que sean seguras para los clientes y cumplan con las normas la App Store.”