Hace 24 horas SourceDNA reveló que habían aplicaciones de la App Store que tenían un comportamiento extraño: enviaban información privada.

Youmi es uno de los principales protagonistas de esta historia, debido a que ellos son una compañía china de publicidad que se centra en los dispositivos móviles y habrían usado APIs privadas para recopilar información privada de los dispositivos, burlando los controles de la App Store.

Esta recopilación de datos se realizaba por medio de los anuncios que se insertaban en las cientos de apps que usaban su Kit de desarrollo de software o SDK de Youmi sin que ellas lo supieran.

De esta forma, Youmi sabía qué aplicaciones teníamos instaladas en nuestros iPhones o iPads, también sus números de serie, sus características de hardware y nuestro Apple ID.

SourceDNA considera que Youmi en sus inicios no realizaba estas prácticas y según afirman, recién sus desarrollos de hace dos años atrás contenían experimentos de llamadas a código cuando la app se encontraba en segundo plano.

"Luego de que burlaron el equipo de revisión de la App Store, quizá estuvieron seguros de que podrían obtener más datos sin ser detectados".

En total fueron 256 apps que fueron comprometidas y sus propios desarrolladores no tenían forma de saber esto por ello SourceDNA no publicó la lista de las aplicaciones en cuestión sino sólo se las envió a Apple para su revisión.

Se sabe que la app oficial de McDonald usaba el SDK de Youmi, aunque su objetivo no era robar información privada sino sólo mostrar anuncios de Youmi. La app oficial de McDonald para China utilizaba el SDK de Youmi.

Cabe alertar que el SDK de Youmi también está disponible para la plataforma Android; sin embargo, no se dabe hasta este momento si también incluye la sustracción de datos de los usuarios. Hace pocos días, Apple eliminó 39 aplicaciones por problemas similares a este, entre ellas estaba la popular WeChat.

La respuesta oficial de Apple sobre este asunto

“We’ve identified a group of apps that are using a third-party advertising SDK, developed by Youmi, a mobile advertising provider, that uses private APIs to gather private information, such as user email addresses and device identifiers, and route data to its company server. This is a violation of our security and privacy guidelines. The apps using Youmi’s SDK will be removed from the App Store and any new apps submitted to the App Store using this SDK will be rejected. We are working closely with developers to help them get updated versions of their apps that are safe for customers and in compliance with our guidelines back in the App Store quickly.”

Traducción libre:

"Hemos identificado un grupo de apps que utilizaban el kit de desarrollo de software creado por Youmi, un proveedor de publicidad en dispositivos móviles, que empleaba APIs no oficiales para obtener información privada como direcciones de correo electrónico e identificadores de dispositivo y enviarla a su propios servidores. Esto es una violación de nuestras normas de privacidad y seguridad. Todas las apps que usaban el SDK de Youmi han sido eliminadas de la App Store y cualquier nueva app que se envíe a la App Store y utilice este SDK será rechazada. Ayudaremos a los desarrolladores para que lancen versiones actualizadas de sus apps que sean seguras para los clientes y cumplan con nuestras normas, de modo que puedan volver a la App Store rápidamente".

Fuente: SourceDNA