Un atacante rastreó 1,8 millones de apps Android buscando claves olvidadas

No hubo ningún fallo en el núcleo de Android, ni un exploit que rompiera el aislamiento entre aplicaciones. Según un informe de Anthropic recogido por Xataka Móvil, un atacante montó una operación industrial para descargar y descompilar cerca de 1,8 millones de aplicaciones Android y buscar dentro lo que muchos desarrolladores dejan olvidado: contraseñas, certificados y claves de acceso a servicios en la nube escritas en texto plano.

Diez servidores, dos millones de APK

El informe atribuye la campaña a un atacante francófono relacionado con el colectivo ShinyHunters, conocido por filtraciones masivas de bases de datos. La infraestructura era sencilla de describir y muy eficaz: diez instancias de servidores en AWS EC2 dedicadas a descargar paquetes APK —el formato en el que se distribuyen las apps de Android— desde distintas tiendas, descompilarlos de forma automática y rastrear su código en busca de secretos.

Para esa última tarea utilizó herramientas ya conocidas en el sector, como TruffleHog, pensadas originalmente para que las propias empresas detecten credenciales filtradas en sus repositorios. Aquí el uso fue el contrario: localizar lo que no debería estar ahí para aprovecharlo.

Las claves de API, los tokens de autenticación y las credenciales que superaban un filtro de validación —es decir, las que seguían funcionando— se enviaban a canales privados organizados en más de un centenar de categorías. En paralelo, el atacante recopilaba direcciones de correo en repositorios públicos para hacerse con tokens personales de desarrolladores.

Entrar por la puerta, no por la ventana

La consecuencia es la parte más incómoda del caso: con esas credenciales no hacía falta saltarse ningún cortafuegos ni explotar vulnerabilidad alguna. El acceso a bases de datos y paneles de gestión se producía identificándose como un administrador legítimo del sistema. Desde fuera, el tráfico parecía perfectamente normal.

En una de las intrusiones confirmadas por el informe, el atacante pasó de un solo token olvidado en una app al control completo de la nube de una empresa en apenas tres horas. En otro caso, combinando reconocimiento automatizado y análisis asistido, logró sustraer miles de tokens de Azure AD —el directorio de identidades corporativas de Microsoft— en menos de 34 horas.

El papel de la inteligencia artificial

Conviene precisar qué aportó exactamente la IA, porque no fue descubrir vulnerabilidades. Según Anthropic, el modelo se empleó para lo que en el sector empieza a llamarse vibe hacking: programar herramientas a medida, automatizar la clasificación y validación de credenciales y entender la arquitectura de cada plataforma comprometida para decidir qué atacar primero.

Dicho de otro modo, la IA no abrió puertas nuevas: eliminó el coste de revisar millones de líneas de código en busca de errores humanos. Lo que antes exigía un equipo y semanas de trabajo manual quedó al alcance de una sola persona con acceso a un modelo de lenguaje y a unos servidores baratos. La compañía asegura haber desactivado las cuentas implicadas y reforzado sus filtros de uso indebido.

Qué significa para desarrolladores y usuarios

El caso deja una lección elemental de higiene técnica: incrustar credenciales de producción dentro de un APK y publicarlo en una tienda equivale a repartir copias de la llave. Un paquete de aplicación es un archivo descargable por cualquiera y descompilable con herramientas gratuitas, así que todo lo que viaje dentro debe considerarse público. La alternativa pasa por gestores de secretos, claves rotativas y validación en el servidor, no en el cliente.

Para el usuario final el riesgo es indirecto pero real: los datos que expone una credencial filtrada no están en el móvil, sino en las bases de datos de la empresa que desarrolló la app. De poco sirve mantener el teléfono al día si el backend está abierto. Aun así, la recomendación de fondo sigue vigente: instalar solo desde tiendas oficiales, revisar permisos y mantener el sistema actualizado. En ese terreno, Google ha ido soltando piezas del sistema del ciclo de las grandes versiones, algo que explicamos al hablar de cómo Google actualiza módulos de Android. Y en el lado de la privacidad cotidiana, iniciativas como el pegado seguro del portapapeles en GrapheneOS muestran por dónde van los intentos de limitar lo que las apps pueden leer.

Fuente: informe de seguridad de Anthropic, vía Xataka Móvil.