Buenas noticias: Android no tiene una nueva brecha de seguridad. Malas noticias: 1,8 millones de apps tenían sus claves al descubierto

Aunque el temor más recurrente en la ciberseguridad del móvil suele apuntar a vulnerabilidades o fallos críticos en el núcleo del sistema capaces de romper el aislamiento de las aplicaciones, una de las mayores amenazas para los datos no requiere mucha sofisticación ni quebrar las defensas de Android. Basta con que los desarrolladores se dejen las llaves puestas.

Ahora, un informe de seguridad ha destapado una de las campañas de recolección de credenciales más masivas —y automatizadas— que recordamos. Un hacker se limitó a descargar cerca de dos millones de apps para buscar en sus entrañas lo que no debía estar: contraseñas, certificados y claves de infraestructura en la nube escritas en texto plano. Una tarea que no necesitó exploits, solo el uso de la IA.

Diez servidores y 1,8 millones de APKs. Según leemos en el informe publicado por Anthropic, un atacante francófono vinculado al colectivo «ShinyHunters» desplegó una red de diez instancias en AWS EC2. Su cometido no era infectar los móviles de los usuarios, sino descargar paquetes APK de forma masiva desde diferentes tiendas de apps, descompilarlos automáticamente y rastrear secretos de su código fuente mediante herramientas como TruffleHog.

Almacén de secretos. Las claves API, tokens de autenticación y credenciales que superaban los filtros de validación se enviaban a canales privados organizados en más de un centenar de categorías. En paralelo, se recolectaban correos en repositorios públicos para sustraer tokens personales. Así, con todas estas credenciales, el grupo podía acceder a las bases de datos y paneles de gestión sin saltarse ningún cortafuegos: solo identificándose como administradores del sistema.

El rol de la IA. No, no usaron Claude para descubrir vulnerabilidades, sino para hacer lo que se conoce como vibe hacking: programar herramientas a medida, automatizar el análisis de las credenciales y comprender la arquitectura de las plataformas para saber qué explotar primero. En una de las intrusiones confirmadas, el atacante tardó apenas tres horas en escalar desde un único token olvidado en una app hasta el control total de una nube empresarial.

Rápido y furioso. Que combinaran modelos de lenguaje con tareas de reconocimiento permitió a un solo individuo vulnerar plataformas de software corporativo y sustraer miles de tokens de Azure AD en menos de 34 horas. Aunque Anthropic neutralizó las cuentas involucradas y reforzó sus filtros, este caso confirma un cambio de escala: la IA reduce a cero el esfuerzo necesario para procesar millones de líneas de código en busca de errores cometidos por humanos.

Una lección incómoda. El caso demuestra que la fragilidad de nuestro móvil no radica solo en esas pequeñas vulnerabilidades que puedan ser explotadas. Una mala práctica a la hora de compilar apps puede arruinarlo todo: subir un APK a una tienda con credenciales de producción incrustadas en su código es una temeridad. Y ahora, en un escenario donde cualquiera puede poner a una IA a descompilar y leer paquetes a toda velocidad, es un descuido que se convierte en una invitación.

Imagen destacada | Xataka

En Xataka Móvil | Tienes un 25% de posibilidades de que tu Android sea un peligro. Y no es solo por la falta de parches, sino por una vieja costumbre