Una versión anterior de la aplicación Android de Shein sufría un error que periódicamente capturaba y transmitía el contenido del portapapeles a un servidor remoto.
El equipo de investigación de Microsoft 365 Defender dijo que descubrió el problema en la versión 7.9.2 de la aplicación que se lanzó el 16 de diciembre de 2021. Desde entonces, el problema se solucionó en mayo de 2022.
Shein, originalmente llamado ZZKKO, es un minorista chino de moda rápida en línea con sede en Singapur. La aplicación, que actualmente se encuentra en la versión 9.0.0, tiene más de 100 millones de descargas en Google Play Store.
El gigante tecnológico dijo que no es “específicamente consciente de ninguna intención maliciosa detrás del comportamiento”, pero señaló que la función no es necesaria para realizar tareas en la aplicación.
Señaló además que iniciar la aplicación después de copiar cualquier contenido en el portapapeles del dispositivo activaba automáticamente una solicitud HTTP POST que contenía los datos en el servidor “api-service[.]shein[.]com”.
Para mitigar tales riesgos de privacidad, Google ha realizado mejoras adicionales en Android en los últimos años, incluida la visualización de mensajes de brindis cuando una aplicación accede al portapapeles y la prohibición de que las aplicaciones obtengan los datos a menos que se esté ejecutando activamente en primer plano.
“Teniendo en cuenta que los usuarios de dispositivos móviles a menudo usan el portapapeles para copiar y pegar información confidencial, como contraseñas o información de pago, el contenido del portapapeles puede ser un objetivo atractivo para los ataques cibernéticos”, dijeron los investigadores Dimitrios Valsamaras y Michael Peck.
“Aprovechar los portapapeles puede permitir a los atacantes recopilar información de destino y filtrar datos útiles”.
Fuente: TheHackerNews, Ravie Lakshmanan
