Imprimir
Close
Miles de aplicaciones para iPhone exponen datos dentro de Apple App Store
Por Kurt Knutsson, CyberGuy Report
Publicado el 29 de enero de 2026.
Apple suele promocionar la App Store como un lugar seguro para descargar aplicaciones. La empresa destaca las estrictas revisiones y el sistema cerrado como protecciones clave para los usuarios de iPhone. Esa reputación se enfrenta ahora a serias dudas.
Una nueva investigación revela que miles de aplicaciones iOS aprobadas por Apple contienen fallos de seguridad ocultos. Estos fallos pueden exponer los datos de los usuarios, el almacenamiento en la nube e incluso los sistemas de pago.
El problema no es el malware, sino las deficientes prácticas de seguridad integradas directamente en el código de la aplicación.
Suscríbete a mi informe gratuito CyberGuy Report
Recibe mis mejores consejos tecnológicos, alertas de seguridad urgentes y ofertas exclusivas directamente en tu bandeja de entrada. Además, obtendrás acceso instantáneo a mi guía definitiva para sobrevivir a las estafas, gratuita al unirte a mi CYBERGUY.COM .
APPLE ADVIERTE QUE MILLONES DE IPHONES ESTÁN EXPuestos A ATAQUES
Los investigadores de Cybernews descubrieron que muchas aplicaciones iOS almacenan secretos confidenciales directamente dentro de los archivos de las aplicaciones, donde pueden extraerse fácilmente. (Kurt «CyberGuy» Knutsson)
Lo que los investigadores descubrieron dentro de las aplicaciones iOS
Los investigadores de seguridad de Cybernews, una empresa dedicada a la investigación en ciberseguridad, analizaron el código de más de 156 000 aplicaciones para iPhone. Esto representa aproximadamente el 8 % de todas las aplicaciones disponibles en todo el mundo.
Esto es lo que descubrieron:
- Más de 815 000 secretos ocultos dentro del código de la aplicación.
- Un promedio de cinco secretos por aplicación.
- El 71 % de las aplicaciones filtraron al menos un secreto.
Estos secretos incluyen contraseñas, claves API y tokens de acceso. Los desarrolladores los colocan directamente dentro de las aplicaciones, donde cualquiera puede extraerlos. Según el investigador de Cybernews Aras Nazarovas, esto facilita mucho el trabajo de los atacantes, más de lo que la mayoría de los usuarios creen.
¿Qué son los secretos codificados de forma rígida en términos sencillos?
Un secreto codificado es información confidencial que se guarda directamente dentro de una aplicación en lugar de protegerse en un servidor seguro. Es como escribir el PIN de tu cuenta bancaria en el reverso de tu tarjeta de débito. Una vez que alguien descarga la aplicación, puede inspeccionar sus archivos y extraer esos secretos. Los atacantes no necesitan un acceso especial ni herramientas de piratería avanzadas. Tanto la Agencia de Seguridad Cibernética y de Infraestructuras como el FBI advierten a los desarrolladores que no hagan esto. Sin embargo, está ocurriendo a gran escala.
Las filtraciones en el almacenamiento en la nube expusieron enormes cantidades de datos.
Uno de los problemas más graves tiene que ver con el almacenamiento en la nube. Más de 78 000 aplicaciones iOS contenían enlaces directos a depósitos de almacenamiento en la nube. Estos depósitos almacenan archivos como fotos, documentos, recibos y copias de seguridad. En algunos casos, no se requería ninguna contraseña. Los investigadores descubrieron lo siguiente:
- 836 contenedores de almacenamiento están totalmente abiertos al público.
- Más de 76 000 millones de archivos expuestos
- Más de 406 terabytes de datos filtrados.
Estos datos incluían archivos subidos por los usuarios, datos de registro, registros de aplicaciones y registros privados. Cualquiera que supiera dónde buscar podía verlos o descargarlos.
APPLE CORRIGE DOS FALLOS DE DÍA CERO UTILIZADOS EN ATAQUES DIRIGIDOS
Este gráfico muestra los tipos más comunes de secretos codificados que se encuentran dentro de las aplicaciones iOS, siendo las claves Google las que aparecen con mayor frecuencia, según una investigación de Cybernews. (Cybernews)
Las bases de datos de Firebase también se dejaron abiertas.
Muchas aplicaciones iOS utilizan Google para almacenar los datos de los usuarios. Cybernews encontró más de 51 000 enlaces a bases de datos Firebase ocultos en el código de las aplicaciones. Aunque algunos estaban protegidos, más de 2200 no tenían autenticación. Esto expuso:
- Casi 20 millones de registros de usuarios
- Mensajes, perfiles y registros de actividad
- Bases de datos alojadas principalmente en EE. UU.
Si una base de datos de Firebase no está bloqueada, los atacantes pueden examinar los datos de los usuarios como si se tratara de un sitio web público.
Los sistemas de pago y de inicio de sesión también estaban en peligro.
Algunos de los secretos filtrados eran mucho más peligrosos que los análisis o los anuncios. Los investigadores descubrieron claves secretas para:
- Stripe, que gestiona los pagos y los reembolsos.
- Sistemas de autenticación JWT que controlan los inicios de sesión
- Herramientas de gestión de pedidos utilizadas por las aplicaciones de compras
Una clave secreta de Stripe filtrada puede permitir a los atacantes emitir reembolsos, mover dinero o acceder a datos de facturación. Las claves de inicio de sesión filtradas pueden permitir a los atacantes suplantar la identidad de los usuarios o hacerse con el control de las cuentas.
La inteligencia artificial y las aplicaciones sociales fueron algunas de las que más infringieron las normas.
Algunas de las aplicaciones con mayores fugas estaban relacionadas con la inteligencia artificial. Según VX Underground, la empresa de seguridad CovertLabs identificó 198 aplicaciones iOS que filtraban datos de los usuarios. El peor caso conocido fue el de Chat & Ask AI, de Codeway. Los investigadores afirman que expuso historiales de chat, números de teléfono y direcciones de correo electrónico vinculados a millones de usuarios. Otra aplicación, YPT - Study Group, supuestamente filtró mensajes, identificaciones de usuarios y tokens de acceso. CovertLabs realiza un seguimiento de estos incidentes en un repositorio restringido llamado Firehound. La lista completa de aplicaciones afectadas no se ha hecho pública, y los investigadores afirman que los datos son limitados para evitar una mayor exposición y dar tiempo a los desarrolladores para corregir los fallos de seguridad.
Las extensiones maliciosas GOOGLE secuestran cuentas
Este ejemplo muestra cómo claves confidenciales como las credenciales Google y los secretos de pago de Stripe pueden almacenarse directamente en los archivos de una aplicación iOS, donde son fáciles de extraer. (Cybernews)
Por qué la revisión de aplicaciones de Apple puede pasar por alto riesgos de seguridad ocultos
Apple revisa las aplicaciones antes de que aparezcan en la App Store. Sin embargo, el proceso de revisión no analiza el código de las aplicaciones en busca de secretos ocultos. Si una aplicación se comporta con normalidad durante las pruebas, puede pasar la revisión incluso si hay claves confidenciales ocultas en sus archivos. Esto crea una brecha entre las afirmaciones de seguridad de Apple y los riesgos del mundo real. Eliminar los secretos filtrados no es sencillo para los desarrolladores. Deben revocar las claves antiguas, crear otras nuevas y reconstruir partes de vuestras aplicaciones. Esto puede afectar al funcionamiento de algunas funciones y retrasar las actualizaciones. Aunque Apple afirma que la mayoría de las actualizaciones de aplicaciones se revisan en un plazo de 24 horas, algunas tardan semanas. Durante ese tiempo, las aplicaciones vulnerables pueden seguir estando disponibles.
CyberGuy se puso en contacto con Apple para recabar tus comentarios, pero no recibió respuesta antes de la publicación.
Formas de mantenerse a salvo en este momento
No es fácil inspeccionar una aplicación en busca de secretos ocultos. Apple no proporciona herramientas para ello. Aun así, puedes reducir el riesgo y limitar la exposición siendo selectivo y cauteloso. Estos pasos ayudan a reducir el riesgo de que una aplicación filtre datos de forma encubierta.
1) Limítate a los desarrolladores de aplicaciones consolidados.
Los desarrolladores conocidos suelen contar con equipos de seguridad más sólidos y mejores prácticas de actualización. Las aplicaciones más pequeñas o desconocidas pueden apresurarse a lanzar funciones al mercado y pasar por alto los aspectos básicos de seguridad. Antes de descargar una aplicación, comprueba cuánto tiempo lleva activo el desarrollador y con qué frecuencia se actualiza la aplicación.
2) Revisa y limita los permisos de las aplicaciones.
Muchas aplicaciones solicitan más acceso del que necesitan. El acceso a la ubicación, los contactos, las fotos y el micrófono aumentan el riesgo de fugas de datos. Entra en los ajustes de tu iPhone y elimina los permisos que no sean esenciales para el funcionamiento de la aplicación.
3) Elimina las aplicaciones que ya no uses.
Las aplicaciones que no utilizas siguen teniendo acceso a los datos que compartiste en el pasado. También pueden almacenar información en servidores remotos mucho tiempo después de que dejes de abrirlas. Si no has utilizado una aplicación en meses, elimínala. A continuación te explicamos cómo hacerlo: abre Ajustes, pulsa General, selecciona Almacenamiento del iPhone y desplázate por la lista de aplicaciones para ver cuándo se utilizó cada una por última vez. Pulsa cualquier aplicación que ya no necesites y selecciona Eliminar aplicación para eliminarla y reducir la exposición continua de datos.
4) Ten cuidado con los datos personales y financieros.
Evita introducir información confidencial a menos que sea absolutamente necesario. Esto incluye nombres completos, direcciones, datos de pago y conversaciones privadas. Las aplicaciones de IA son especialmente peligrosas si compartes contenido muy personal.
5) Usa un gestor de contraseñas para cada cuenta.
Un gestor de contraseñas crea contraseñas seguras y únicas para cada aplicación y servicio. Esto evita que los atacantes accedan a varias cuentas si una aplicación filtra datos. Nunca reutilices contraseñas vinculadas a tu dirección de correo electrónico.
A continuación, comprueba si tu correo electrónico se ha visto afectado por alguna filtración anterior. Nuestro gestor de contraseñas favorito incluye un escáner de filtraciones integrado que comprueba si tu dirección de correo electrónico o tus contraseñas han aparecido en filtraciones conocidas. Si encuentras alguna coincidencia, cambia inmediatamente cualquier contraseña reutilizada y protege esas cuentas con credenciales nuevas y únicas.
Echa un vistazo a los mejores gestores de contraseñas evaluados por expertos de 2026 en Cyberguy.com.
6) Cambia las contraseñas vinculadas a las aplicaciones expuestas.
Si una aplicación utiliza tu dirección de correo electrónico para iniciar sesión, cambia esa contraseña inmediatamente. Hazlo incluso si no hay confirmación de una violación. Los atacantes suelen probar las credenciales filtradas en otros servicios.
7) Considera la posibilidad de utilizar un servicio de eliminación de datos.
Algunos datos filtrados terminan en manos de corredores de datos que venden información personal en línea. Un servicio de eliminación de datos puede ayudarte a encontrar y eliminar tus datos de estas bases de datos. Esto reduce la posibilidad de que los datos expuestos de las aplicaciones se reutilicen para estafas o robos de identidad.
Aunque ningún servicio puede garantizar la eliminación completa de tus datos de Internet, un servicio de eliminación de datos es realmente una opción inteligente. No son baratos, pero tampoco lo es tu privacidad. Estos servicios hacen todo el trabajo por ti, supervisando activamente y borrando sistemáticamente tu información personal de cientos de sitios web. Es lo que me da tranquilidad y ha demostrado ser la forma más eficaz de borrar tus datos personales de Internet. Al limitar la información disponible, reduces el riesgo de que los estafadores crucen los datos de las filtraciones con la información que puedan encontrar en la web oscura, lo que les dificulta atacarte.
Echa un vistazo a mis mejores opciones de servicios de eliminación de datos y obtén un análisis gratuito para averiguar si tu información personal ya está en la web visitando Cyberguy.com.
Realiza un análisis gratuito para averiguar si tu información personal ya está en la web: Cyberguy.com.
8) Supervisa tus cuentas para detectar actividades inusuales.
Estate atento a correos electrónicos inesperados, avisos de restablecimiento de contraseña, alertas de inicio de sesión o confirmaciones de pago. Estos pueden indicar que los datos filtrados ya están siendo utilizados de forma indebida. Actúa rápidamente si algo te parece sospechoso.
9) Suspender el uso de aplicaciones de IA y chat que entrañen riesgos.
Si utilizas aplicaciones de IA para conversaciones privadas, considera dejar de hacerlo hasta que el desarrollador confirme las correcciones de seguridad. Una vez que los datos quedan expuestos, no se pueden recuperar. Evita compartir información confidencial con aplicaciones que almacenan las conversaciones de forma remota.
Conclusiones clave de Kurt
La App Store de Apple sigue ofreciendo importantes medidas de protección, pero esta investigación demuestra que no es infalible. Muchas aplicaciones de confianza para iPhone exponen datos de forma silenciosa debido a errores básicos de seguridad. Hasta que mejoren las revisiones de las aplicaciones, debes permanecer alerta y limitar la cantidad de datos que compartes.
¿Cuántas aplicaciones de tu iPhone tienen acceso a información que no querrías que se divulgara? Cuéntanoslo escribiéndonos a Cyberguy.com.
HAZ CLIC AQUÍ PARA DESCARGAR LA APP DE FOX NEWS
Suscríbete a mi informe gratuito CyberGuy Report
Recibe mis mejores consejos tecnológicos, alertas de seguridad urgentes y ofertas exclusivas directamente en tu bandeja de entrada. Además, obtendrás acceso instantáneo a mi guía definitiva para sobrevivir a las estafas, gratuita al unirte a mi CYBERGUY.COM .
Copyright 2026 CyberGuy.com. Todos los derechos reservados.
https://www.foxnews.com/tech/thousands-iphone-apps-expose-data-inside-apple-app-store