Los dispositivos Android espían constantemente a sus propietarios

Last Updated on noviembre 8, 2021 by Daniel Cepeda

Un equipo combinado de investigadores de varias universidades británicas ha detectado numerosos problemas de privacidad derivados del uso de teléfonos inteligentes Android.

Los expertos probaron dispositivos fabricados por Samsung, Xiaomi, Realme y Huawei, así como los sistemas operativos LineageOS y “/e/OS” (dos conocidas bifurcaciones de Android, que están diseñadas para ofrecer soporte a largo plazo a los usuarios y permitirles prescindir de los servicios de Google).

Es importante señalar que el análisis implicó la recopilación de datos que no pueden ser abandonados, lo que significa que no hay nada que los usuarios de Android puedan hacer sobre dicha telemetría.

Los investigadores subrayan que esto es especialmente importante cuando los fabricantes de teléfonos inteligentes entregan sus dispositivos con aplicaciones de terceros que no pueden desinstalarse (esas recogen discretamente los datos incluso cuando el propietario del dispositivo no las utiliza).

A excepción de ‘/e/OS’, incluso con una configuración mínima y cuando el teléfono está en reposo, estas versiones de Android personalizadas por el fabricante transmiten una gran cantidad de información al desarrollador del sistema operativo, así como a terceros (Google, Microsoft, LinkedIn, Facebook, etc.) cuyas apps están preinstaladas en el sistema, señalan los expertos.

Como se ve en la tabla siguiente, los datos sensibles de los usuarios, incluidos los identificadores persistentes, el uso de la app y la telemetría, no solo se comparten con los fabricantes de dispositivos, sino también con varios terceros.

Además, Google se encuentra casi siempre entre los destinatarios de todos los datos recogidos.

Volumen de datos (Kb/h) transmitidos por cada proveedor

Igualmente interesante es que cuando un usuario restablece los ID promocionales de su cuenta de Google Android, el sistema de recogida de datos puede seguir asociando fácilmente un nuevo ID con el mismo dispositivo y añadirlo al mismo historial de seguimiento.

La desanonimización de las personas se realiza mediante diversos métodos, como los datos de la tarjeta SIM, el IMEI, el historial de datos de localización, la dirección IP, el SSID de la red, etc.

Posibles puntos de datos cruzados

Bleeping Computer cita a Gael Duvall, creador de /e/OS, que comentó las conclusiones del informe:

Cada vez son más los que se dan cuenta de que el modelo publicitario que alimenta el negocio de los sistemas operativos móviles se basa en la recogida de datos personales a escala industrial, antes sin precedentes, a escala mundial. Esto afecta negativamente a muchos aspectos de nuestra vida y puede incluso amenazar la democracia, como ya ha ocurrido. Creo que necesitamos más que nunca una normativa de protección de datos personales. Todo empezó con el GDPR, pero no es suficiente y tenemos que pasar a un modelo de “privacidad por defecto” en lugar de un modelo de “privacidad como opción.

Los expertos de Google también comentaron la publicación de los investigadores.

Aunque apreciamos el trabajo de los investigadores, no estamos de acuerdo en que este comportamiento [del dispositivo] sea inesperado: así funcionan los smartphones modernos. Como se explica en un artículo del Centro de ayuda sobre el funcionamiento de los servicios de Google Play, en un ecosistema diverso de dispositivos y construcciones de software, estos datos son esenciales para el funcionamiento de los servicios principales del dispositivo, incluidas las notificaciones push y las actualizaciones de software. Por ejemplo, los servicios de Google Play utilizan datos sobre los dispositivos Android certificados para apoyar sus funciones principales. La recopilación de información básica limitada, como el IMEI de un dispositivo, es esencial para la entrega fiable de actualizaciones críticas para todos los dispositivos y aplicaciones de Android, dice Google.