Controles de Privacidad Inadecuados
La app móvil recolecta, almacena o transmite información personal (PII) sin consentimiento adecuado, encriptación o prácticas de minimización de datos.
Cómo Funciona
Las apps móviles tienen acceso a datos sensibles del dispositivo: contactos, ubicación, fotos, cámara y micrófono. Controles de privacidad inadecuados incluyen recolectar más datos de los necesarios, no encriptar PII en reposo, compartir datos con SDKs de terceros sin divulgación, no tener política de privacidad o no ofrecer opciones de eliminación de datos. Las revisiones de app stores cada vez más exigen requisitos de privacidad, y las violaciones de GDPR/CCPA tienen multas fuertes.
// Collecting unnecessary data
const userData = {
email: user.email,
phone: user.phone,
location: await getLocation(),
contacts: await getContacts(),
deviceId: getUniqueId()
};// Collecting only what's needed
const userData = {
email: user.email // Only collect what the feature requires
};
// Location only when user explicitly triggers it
// No contacts collection unless core featureEjemplo Real
En 2022, Google multó a Meta con $400 millones por violaciones de GDPR relacionadas con cómo Instagram recolectaba y procesaba datos de menores. La app exponía emails y teléfonos de menores a través de la función de cuenta de negocios.
Cómo Prevenirlo
- Solo recolecta datos estrictamente necesarios para la funcionalidad
- Encripta todo PII en reposo y en tránsito
- Proporciona política de privacidad clara y opciones de eliminación
- Audita SDKs de terceros por sus prácticas de recolección
Tecnologías Afectadas
Data Hogo detecta esta vulnerabilidad automáticamente.
Escanea Tu Repo GratisVulnerabilidades Relacionadas
Uso Incorrecto de Credenciales
criticalAPI keys, passwords o tokens hardcodeados directamente en el código fuente de la app móvil — fácilmente extraíbles al decompilar el bundle.
Seguridad de Cadena de Suministro Móvil
mediumSDKs vulnerables, librerías nativas desactualizadas o módulos de terceros comprometidos introducen riesgos de seguridad desde tus dependencias.
Autenticación/Autorización Insegura
highApps móviles con autenticación débil — guardando sesiones de forma insegura, sin refresh de tokens o checks de autorización solo en el cliente.
Validación Insuficiente de Input/Output
mediumApps móviles que no validan input de usuario o sanitizan output son vulnerables a ataques de inyección, corrupción de datos y comportamiento inesperado.