Una versión anterior de la aplicación Android de Shein sufría de un error que periódicamente capturaba y transmitía el contenido del portapapeles a un servidor remoto.
El equipo de investigación de Microsoft 365 Defender dijo que descubrió el problema en la versión 7.9.2 de la aplicación que se lanzó el 16 de diciembre de 2021. Desde entonces, el problema se ha abordado a partir de mayo de 2022.
Shein, originalmente llamado ZZKKO, es un minorista chino de moda rápida en línea con sede en Singapur. La aplicación, que actualmente está en la versión 9.0.0, tiene más de 100 millones de descargas en Google Play Store.
El gigante tecnológico dijo que no es «específicamente consciente de ninguna intención maliciosa detrás del comportamiento», pero señaló que la función no es necesaria para realizar tareas en la aplicación.
Además, señaló que el lanzamiento de la aplicación después de copiar cualquier contenido al portapapeles del dispositivo activó automáticamente una solicitud HTTP POST que contenía los datos al servidor «api-service[.] shein[.] com.»
Para mitigar tales riesgos de privacidad, Google ha realizado mejoras adicionales en Android en los últimos años, incluida la visualización de mensajes del sistema cuando una aplicación accede al portapapeles y la prohibición de que las aplicaciones obtengan los datos a menos que se estén ejecutando activamente en primer plano.
«Teniendo en cuenta que los usuarios móviles a menudo usan el portapapeles para copiar y pegar información confidencial, como contraseñas o información de pago, el contenido del portapapeles puede ser un objetivo atractivo para los ataques cibernéticos», dijeron los investigadores Dimitrios Valsamaras y Michael Peck.
«Aprovechar los portapapeles puede permitir a los atacantes recopilar información del objetivo y filtrar datos útiles».
Fuente: ttps://thehackernews.com
