Abandoned IoT apps keep sending sensitive data to broken servers
2026-09-18
Investigadores de la Universidad de Massachusetts Amherst analizaron 61.500 aplicaciones de Android para el Internet de las Cosas (IoT) —dispositivos conectados como cámaras o termostatos— y descubrieron que casi tres de cada cuatro contienen componentes con vulnerabilidades conocidas.
El estudio define como 'abandonadas' a las aplicaciones que no han recibido actualizaciones en dos años o que desaparecieron de la Google Play Store antes de marzo de 2025. El problema es que los usuarios suelen conservar estos dispositivos por una década, mucho más de lo que los fabricantes mantienen el soporte de sus aplicaciones.
Se encontró que muchas de estas aplicaciones contienen direcciones web (dominios) que ya no funcionan o que han cambiado de dueño. Además, uno de cada nueve dominios extraídos coincidió con listas negras de phishing, estafas, spyware (software espía) o malware (software malicioso).
Las aplicaciones solicitan permisos delicados como acceso a la ubicación precisa, la cámara y el almacenamiento externo. El estudio detectó que el 38,4% de los flujos de datos en aplicaciones abandonadas se dirigen a destinos que son inalcanzables, vulnerables o que pertenecen a dueños desconocidos.
Al intentar contactar a los desarrolladores para informarles, uno de cada cinco correos fue devuelto por ser inexistente. Algunos fabricantes admitieron fallos, como vulnerabilidades en el kit de desarrollo de Tuya, aclarando que el problema se corrigió en la nube porque el código de la aplicación ya no se puede actualizar.
Qué significa para una pyme colombiana y cucuteña: Si usted utiliza cámaras de seguridad, termostatos o enchufes inteligentes en su local o bodega, revise qué aplicación usa para controlarlos. Si la aplicación no se ha actualizado en más de dos años o ya no aparece en la Play Store, sus datos (como la ubicación o imágenes de las cámaras) podrían estar viajando hacia servidores inseguros o controlados por terceros. Como medida inmediata, si detecta que un dispositivo depende de una aplicación abandonada, considere reemplazar el equipo por uno de una marca que garantice actualizaciones constantes.