Permisos de apps de bancos en Android y iPhone: ¿sabes qué estás permitiendo? 7 recomendaciones de seguridad

¿Sabes qué permisos pide la app de tu banco en Android o iPhone/iPad? Las apps de los bancos ofrecen cada vez más funciones y, consecuentemente, solicitan permisos a ciertas informaciones de los smartphones y tabletas, como por ejemplo ubicación o contactos ¿Es realmente necesario? ¿Qué supone conceder esos permisos desde el punto de vista de privacidad para cada uno de los tipos?

Hasta hace poco, instalar una app de un banco en España era algo opcional, pero con la entrada de la PSD2 en septiembre de 2019, algunas entidades bancarias obligan a instalar la app de su banco con ciertas funciones para acceder, aunque sea vía web u operar (otras envían un SMS con un código a modo de autenticación adicional para proporcionar más seguridad).

¿Qué permisos solicitan las apps de Caixabank, ABANCA, Santander, BBVA, Bankinter, Sabadell, ING y Bankia?

¿Supone algún problema de seguridad o privacidad instalar las apps de los bancos? ¿Qué ventajas e inconvenientes tiene?

Permisos de apps de bancos en Android y iPhone: ¿sabes qué estás permitiendo? 7 recomendaciones

Permisos de las apps en Android y iOS (iPhone, iPad, iPod touch)

Instalando una app de banco

Como decía, hasta septiembre de 2019, la instalación de las diferentes apps de las entidades bancarias en España en tu smartphone o tableta era voluntaria (y lo sigue siendo en muchos casos).

Disponer de la app instalada eliminaba (y elimina) en algunos casos ciertas validaciones o solicitudes de datos tras la configuración inicial y permite acceder a la banca online de forma rápida, segura y cómoda, ya que solo hay que abrir la aplicación en cuestión, introducir algún dato o código (incluso utilizando recursos biométricos como la huella dactilar o el reconocimiento facial¸ algo que con el acceso web es mucho más complicado de conseguir) y, a continuación, ya se pueden consultar saldos, hacer operaciones, etc.

En los últimos años, con la popularización de los smartphones sobre todo, y también tabletas con Android o iPad, parece que hay una carrera por ver qué banco tiene la mejor app, la que ofrece más servicios e información a sus usuarios, entiendo que en un intento de diferenciarse y de adquirir un carácter innovador y de parecer que están “on”.

El problema de que las apps en general, y las de los bancos en particular, sean cada vez más funcionales conlleva la necesidad inherente de que van a solicitar más y más permisos al usuario para acceder a información del terminal y a sus funciones.

Esto, que de por sí no tiene por qué ser malo si la app es legítima (pensemos en el problema que puede ocurrir si no lo es y que una app maliciosa acceda a nuestra agenda de contactos y envía a un servidor remoto nuestra lista de contactos, sus números de teléfono, etc.), conlleva un riesgo para la privacidad de nuestros datos (y de nuestros conocidos).

Cada vez que instalamos una app, ya sea en la Apple App Store o Google Play, ésta nos va a pedir la primera vez permiso para acceder a ciertas funciones e informaciones del dispositivo (smartphone o tableta).

Permisos de apps en Android

Pensemos por ejemplo en el caso de WhatsApp: solicita (lógicamente) acceso a la lista de contactos para saber quiénes de ellos tienen cuenta en la popular aplicación de mensajería instantánea. Esto es normal, lógico e incluso bueno ya que permiten enriquecer las funciones del smartphone o tableta con nuevos servicios o características.

El problema viene de los casos en los que los permisos de las apps solicitados son excesivos o innecesarios y se usan o bien por desconocimiento del desarrollador, o porque se quieren recopilar más datos de los estrictamente necesarios con algún ¿oscuro? fin.

No es ningún secreto que hay un auténtico negocio basado en la explotación de los datos que diariamente generamos y que ciertas empresas se encargan de recopilar y vender. Una de las fuentes es, por supuesto, las apps.

Es importante destacar y recordar que, aunque se haya concedido un permiso a una app en un terminal con Android o en el iPhone/iPad o iPod touch, en los ajustes de privacidad o de permisos (dependiendo del sistema) es posible revocarlos; eso sí, si el permiso es necesario, puede que la app no funcione.

Cómo configurar los permisos en Android

Aunque varía algo con las diferentes versiones, en general se pueden ajustar en:

Ajustes > Aplicaciones > Opciones avanzadas o configurador de aplicaciones

Permisos de apps en Android

Cómo configurar los permisos en iOS (iPhone, iPad, iPod touch)

Suelen estar en Ajustes > Privacidad  > y luego revisar permiso por permiso (localización, contactos, calendarios, recordatorios, fotos, micrófono, cámara, etc.).

Permisos de apps en iPhone/iPad

Permisos frecuentes a los que solicitan permiso las apps

¿Qué supone cada permiso que se solicita desde el punto de vista de la privacidad o seguridad de nuestros datos?

Hay que recordar que conceder un permiso puede ser revocado, pero si la app ha enviado esos datos a servidores externos, puede que la información recopilada no se elimine.

Permisos frecuentes a los que solicitan permiso las apps (hay más y también dependen de la plataforma Android o iOS -iPhone, iPad y iPod touch-):

Permiso de la app para acceder a la información de tu ubicación

Tiene sentido permitir el GPS si es por ejemplo un navegador

La app en este caso (realmente la empresa/desarrollador que está detrás) solicita permiso a tu ubicación para saber dónde estás ahora físicamente, utilizando un A-GPS, capaz de determinar dónde te encuentras y, por tanto, poder conocer información de lo que hay a tu alrededor, por ejemplo, un cajero, una oficina bancaria o saber cuánto falta para llegar a un destino si lo utilizamos como navegador GPS.

En malas manos, esta información puede recopilarse para saber si estás o no en casa, venderla a terceros, etc. En general, creo que es evidente que no es bueno que “cualquiera” sepa dónde estás en cada momento e incluso pueda registrar nuestras ubicaciones y, de manera automatizada, guarden todo el historial de sitios que visitamos y cuándo lo hacemos (e incluso cuánto tiempo se permanece en cada uno).

Permiso de la app para acceder a las llamadas y mensajes SMS

Muchas empresas desarrolladoras de apps solicitan permisos para acceder al registro de llamadas y a los mensajes (enviados y recibidos, lo que puede suponer un riesgo a la privacidad). En el caso de Android, hay varias aplicaciones que permiten recibir y enviar SMS por ejemplo.

Además, al permitir acceder al estado del teléfono, se puede llegar a conocer el mismo, ver el histórico de llamadas, redireccionar llamadas, etc.

Si la app es maliciosa, puede enviar a números premium o incluso llamar sin quererlo el usuario.

Permiso de la app para acceder a los contactos

Revisar los contactos

Si se concede el permiso de acceso de la app a los contactos, ésta puede evidentemente ver quiénes son, consultar, editar e incluso borrar (o crear nuevos), lo que supone poner en peligro la privacidad de los datos que tenemos registrados, ya que en malas manos, por ejemplo, podría usarse para hacer spam.

Si en la “ficha” de cada contacto además tenemos no solo el nombre, apellidos, correo electrónico y teléfono sino que añadimos por ejemplo enlaces a sus perfiles sociales, cumpleaños u otros datos en el campo de notas, podemos llegar a proporcionar valiosa información.

En ciertos casos, acceder a los contactos permite conocer también la frecuencia con la que interactuamos con ellos (llamadas, correos electrónicos, etc.).

Es importante también recordar que es posible que si la app recibe el permiso de acceder a los contactos inicialmente y envía la información a través de Internet a los servidores de los desarrolladores de la aplicación, aunque se revoque, puede ser que mantengan la información ya que está ya guardada en sus sistemas.

Permiso de la app para acceder al calendario

Mediante este permiso se posibilita que la app conozca el calendario (lea sus citas privadas) e incluso que pueda crear o borrar entradas en el calendario.

Permiso de la app para acceder a las fotos/vídeos/galería

Conceder permiso de acceso a las fotos (y vídeos) de la galería puede suponer que la app pueda ver, modificar, borrar, enviar a Internet,… contenidos existentes que quizá no queramos que salgan del smartphone o tableta.

Además, al poder acceder a las fotos y vídeos, una aplicación puede llegar a conocer (y guardar) los metadatos que tienen asociados, como por ejemplo dónde (físicamente) y cuándo se hicieron, con qué dispositivo, etc. y de esta manera conocer un poco las costumbres del usuario.

Permiso de la app para acceder a las cámaras

Conceder permiso de acceder a las cámaras una cierta app lógicamente posibilita que ésta, con o sin nuestro conocimiento, haga fotos o grabe vídeos.

Información en el dispositivo

Permiso de la app para acceder al micrófono

Si una app puede acceder al micrófono puede, potencialmente, escuchar todo lo que decimos cuando está activa e incluso grabar conversaciones, etc. Sería como tener un espía siempre al lado que todo lo oye.

Permiso de la app para acceder al almacenamiento/tarjeta de memoria del dispositivo

Hay que tener cuidado con el permiso de acceso al almacenamiento o memoria del dispositivo (que solo está disponible en Android), ya que depende mucho del sistema y de las medidas de seguridad, pero en el peor de los casos podría llegar a permitir acceder a información que no le corresponde.

Imagina el caso de que una app maliciosa cifra todos los datos a los que tiene acceso y a cambio de la clave para recuperarlos te pide un “rescate” económico. Esto es perfectamente posible y ocurre en ordenadores, pero también en móviles. Es el llamado ransomware (ransom es rescate en inglés).

En general, las apps solo deberían acceder a los datos propios.

Acceso de la app a la información del dispositivo

Este permiso posibilita a la app que conozca y registre la información del dispositivo (modelo, versión de sistema operativo, estado, características, etc.) pudiendo además en algunos casos intentar averiguar datos adicionales que pueden llegar a resultar sensibles.

Varias de las apps por ejemplo pueden consultar qué programas se encuentran en ejecución, por lo que pueden llegar a conocer información adicional importante (intereses, aficiones, etc.) sobre el usuario.

Permiso de la app para acceder a Internet

Una app que solicita acceso total a Internet quiere obviamente enviar y recibir datos. Hay que pensar si realmente es necesario que tenga este permiso, pensando por ejemplo en un juego que no interactúa ni guarda datos en Internet, no procedería tenerlo. Una app de mensajería o de un banco, por ejemplo, sí.

Permiso de la app para acceder a a la Wi-Fi

En línea con el punto anterior, acceder a la Wi-Fi permite que la app se conecte a Internet de esta manera, algo que casi todas las apps solicitan de una u otra manera.

7 recomendaciones a la hora de instalar, actualizar y configurar las apps desde el punto de vista de la privacidad y la seguridad

Recomendaciones de seguridad a la hora de instalar apps

Por todas estas razones, lo recomendable es que:

1. Instala las apps solo desde las tiendas oficiales (Apple App Storeo Google Play). Por Internet hay muchas opciones de obtener aplicaciones de otras fuentes (incluso piratas) pero se corre un riesgo si no se sabe a ciencia cierta lo que hacen.
2. Instala solo aquellas apps que te resulten imprescindibles. Descargar una solo porque está de oferta o “me suena de algo pero no creo que la use” no es conveniente.
3. Antes de instalar una app, revisa los comentarios, las valoraciones y si es realmente la que parece. En ocasiones, hay apps con nombres parecidos o que juegan un poco al engaño para que se instalen. Frecuentemente (sobre todo en Android) retiran aplicaciones que contienen malware oculto.
4. Si te has decidido por descargar una app que te interesa, conviene que revises los permisos que solicita y los concedas (o no), aunque si no lo haces, es posible que no funcione.
5. Si tras instalar una app detectas que hace “algo raro”, no dudes en indicarlo en Google Play marcando la opción de “Marcar como inadecuada” o poniéndote en contacto con Google o Apple (o incluso con el propio desarrollador si lo consideras prestigioso).
6. Conviene actualizar las apps cuando salen nuevas versiones, ya que en ocasiones solucionan problemas funcionales y de seguridad* pero hay que tener cuidado con los permisos que solicita la nueva versión, ya que pueden haber cambiado.
7. Revisa periódicamente las apps que tienes instaladas y qué permisos tienen y no dudes en eliminar las que ya no uses o no te interesen.

Apps de los bancos – permisos que solicitan

Apps de los bancos mejor valoradas según Statista (en Google Play)

A continuación, indico los permisos que, cada una de las apps de bancos mejor valoradas en Google Play según Statista (evidentemente hay muchísimos más bancos que pedirán más o menos información, pero por citar algunos con apps bien valoradas), solicitan en su versión de Android extraídos de Google Play, que son:

• Caixabank
• ABANCA
• Santander
• BBVA
• Bankinter
• Sabadell
• ING
• Bankia

Permisos que pide la app de Caixabank

Permisos que pide la app de Caixabank

La app de Caixabank en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Cámara

• take pictures and videos

Micrófono

• record audio

Contactos

• find accounts on the device
• read your contacts

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Identidad

• find accounts on the device

Historial de aplicaciones y del dispositivo

• retrieve running apps

Almacenamiento

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Fotos/multimedia/archivos

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Ubicación

• precise location (GPS and network-based)
• approximate location (network-based)

Otro motivo

• receive data from Internet
• view network connections
• run at startup
• control vibration
• full network access
• prevent device from sleeping

Permisos que pide la app de ABANCA

Permisos que pide la app de ABANCA

La app de ABANCA en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Identidad

• find accounts on the device

Contactos

• find accounts on the device
• read your contacts

Ubicación

• approximate location (network-based)
• precise location (GPS and network-based)

Teléfono

• read phone status and identity

Fotos/multimedia/archivos

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Almacenamiento

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Cámara

• take pictures and videos

Micrófono

• record audio

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

ID de dispositivo e información de llamada

• read phone status and identity

Otro motivo

• receive data from Internet
• view network connections
• pair with Bluetooth devices
• send sticky broadcast
• delete all app cache data
• full network access
• change your audio settings
• run at startup
• use accounts on the device
• control vibration
• prevent device from sleeping
• modify system settings
• read Google service configuration

Permisos que pide la app del Santander

Permisos que pide la app del Santander

La app de Santander en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app). En el caso del Santander tengo muy presente cierta experiencia con su ausente servicio de atención al cliente.Desatención al cliente en Bershka, Cortefiel, Bimba y Lola, Comodynes, Santander, Mediamarkt y Apple.

Esta aplicación puede acceder a:

Identidad

• find accounts on the device

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Ubicación

• precise location (GPS and network-based)
• approximate location (network-based)

Fotos/multimedia/archivos

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Teléfono

• directly call phone numbers
• read phone status and identity

Contactos

• find accounts on the device
• read your contacts

Almacenamiento

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Cámara

• take pictures and videos

ID de dispositivo e información de llamada

• read phone status and identity

Otro motivo

• receive data from Internet
• view network connections
• control vibration
• full network access
• prevent device from sleeping

Permisos que pide la app del BBVA

Permisos que pide la app del BBVA

La app de BBVA en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Contactos

• find accounts on the device
• modify your contacts
• read your contacts

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Cámara

• take pictures and videos

Ubicación

• precise location (GPS and network-based)
• approximate location (network-based)

Micrófono

• record audio

Fotos/multimedia/archivos

• read the contents of your USB storage
• modify or delete the contents of your USB storage

ID de dispositivo e información de llamada

• read phone status and identity

Identidad

• find accounts on the device
• add or remove accounts

Teléfono

• read phone status and identity

Almacenamiento

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Otro motivo

• receive data from Internet
• full network access
• create accounts and set passwords
• pair with Bluetooth devices
• run at startup
• prevent device from sleeping
• control Near Field Communication
• view network connections
• control vibration

Permisos que pide la app de Bankinter

Permisos que pide la app de Bankinter

La app de Bankinter Móvil en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Historial de aplicaciones y del dispositivo

• read sensitive log data
• retrieve running apps

Contactos

• read your contacts
• find accounts on the device
• modify your contacts

Almacenamiento

• modify or delete the contents of your USB storage
• read the contents of your USB storage

Fotos/multimedia/archivos

• modify or delete the contents of your USB storage
• read the contents of your USB storage

Identidad

• find accounts on the device

Ubicación

• approximate location (network-based)
• precise location (GPS and network-based)

SMS

• receive text messages (SMS)
• read your text messages (SMS or MMS)

Otro motivo

• receive data from Internet
• view network connections
• read Google service configuration
• prevent device from sleeping
• control vibration
• toggle sync on and off
• create accounts and set passwords
• full network access
• install shortcuts
• delete all app cache data
• read sync settings

Permisos que pide la app de Banco Sabadell

Permisos que pide la app de Banco Sabadell

La app del Banco Sabadell en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Teléfono

• read phone status and identity

ID de dispositivo e información de llamada

• read phone status and identity

Ubicación

• approximate location (network-based)
• precise location (GPS and network-based)
• access extra location provider commands

Cámara

• take pictures and videos

Almacenamiento

• modify or delete the contents of your USB storage
• read the contents of your USB storage

Fotos/multimedia/archivos

• modify or delete the contents of your USB storage
• read the contents of your USB storage

Contactos

• read your contacts
• find accounts on the device

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Identidad

• find accounts on the device

Otro motivo

• receive data from Internet
• view network connections
• draw over other apps
• prevent device from sleeping
• run at startup
• pair with Bluetooth devices
• control flashlight
• full network access
• control vibration

Permisos que pide la app de ING

Permisos que pide la app de ING

La app de ING en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Cámara

• take pictures and videos

Micrófono

• record audio

Contactos

• find accounts on the device
• read your contacts

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Identidad

• find accounts on the device

Almacenamiento

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Fotos/multimedia/archivos

• read the contents of your USB storage
• modify or delete the contents of your USB storage

Ubicación

• precise location (GPS and network-based)
• approximate location (network-based)

Teléfono

• read phone status and identity

ID de dispositivo e información de llamada

• read phone status and identity

Otro motivo

• receive data from Internet
• view network connections
• run at startup
• prevent device from sleeping
• control Near Field Communication
• control vibration
• send sticky broadcast
• expand/collapse status bar
• change your audio settings
• full network access

Permisos que pide la app de Bankia

Permisos que pide la app de Bankia

La app de Bankia en Google Play (Android) solicita los siguientes permisos (son los permisos de todas las versiones de la app):

Esta aplicación puede acceder a:

Información sobre la conexión Wi‑Fi

• view Wi-Fi connections

Cámara

• take pictures and videos

Historial de aplicaciones y del dispositivo

• read sensitive log data

Contactos

• read your contacts

Fotos/multimedia/archivos

• modify or delete the contents of your USB storage
• read the contents of your USB storage

Teléfono

• directly call phone numbers
• read phone status and identity

Almacenamiento

• modify or delete the contents of your USB storage
• read the contents of your USB storage

ID de dispositivo e información de llamada

• read phone status and identity

Micrófono

• record audio

Ubicación

• precise location (GPS and network-based)

Otro motivo

• receive data from Internet
• view network connections
• run at startup
• change your audio settings
• full network access
• prevent device from sleeping
• control Near Field Communication

Conclusiones y reflexiones sobre los permisos de las apps de los bancos

Conclusiones y reflexiones sobre los permisos de las apps de los bancos

Con la entrada en vigor de la directiva PSD2, la exigencia es pedir un código adicional al clásico usuario y contraseña al iniciar sesión o al hacer una operación, eliminando las tarjetas de coordinadas y otro tipo de elementos adicionales de seguridad, sustituyéndolos en buena parte por un código enviado por SMS (un servicio que no es necesariamente seguro) o por notificación de la app del banco, por lo que el smartphone (o teléfono) se convierte en algo imprescindible para realizar operaciones bancarias e incluso hacer compras online.

La principal cuestión es que el móvil se convierte en un elemento clave y sin él (extraviado, sin batería, roto…), ya no se puede usar la banca online o hacer compras por Internet (por ejemplo, para comprar otro smartphone que no esté roto) y éstas se pueden hacer desde cualquier sitio, lo que es bueno (libertad de ubicación) pero también supone un riesgo (llevo siempre encima todo lo necesario para hacer una compra online o una operación desde el banco como por ejemplo una transferencia). Antes, con la tarjeta de coordenadas, esto solo podía hacerlo en la ubicación física en la que guardaba esta tarjeta de plástico con letras y números.

Sí que es cierto que la directiva permite que no se vuelva a pedir el código inmediatamente, concediendo un plazo de 90 días tal y como hacen algunas entidades bancarias en sus accesos a la banca online.

Lo que personalmente no encuentro muy correcto (por no decir otra cosa) es que algunas entidades bancarias como ING obliguen a sus clientes a instalar la app bajo pena de no poder acceder a su cuenta bancaria. Es más, hasta me parece un poco un abuso: se debe tener un móvil relativamente reciente (7-8 años y es que, aunque parece mucho, no es vital cambiar de terminal cada pocos años) pero sobre todo instalar la app con ciertos permisos como ya hemos visto, algunos de los cuales, si solo se quiere para recibir un código para entrar en la web de la banca online, son excesivos.

Exigen además en ING tener activadas las notificaciones de la app en el móvil (para que salte el aviso al recibir la información), algo que en mi caso solo hago en raras excepciones con las apps que tengo instaladas.

Por contextualizar, en España hay alrededor de 25 millones de usuarios de WhatsApp, lo que sin duda parece mucho, pero es algo más de la mitad de los españoles; es decir, casi la mitad de España no tiene cuenta de WhatsApp, la app intergeneracional (baby boom, generación X, milenials, generación Z,…) más extendida y popular me atrevería a decir.

Permisos de apps de bancos en Android y iPhone: ¿sabes qué estás permitiendo? 7 recomendaciones

Por otra parte, hay más líneas de móvil en España que ciudadanos, lo que permite suponer que una buena parte de ellos no tienen un smartphone (al menos, con WhatsApp). ¿Por qué iban a querer tener que instalar obligatoriamente una app de un banco?

En definitiva, tener apps maravillosas que permitan hacer de todo con el banco: sí, que recopilen información sobre mí y mis contactos: no, ni por supuesto que me hagan fotos o escuchen (dudo que lo hagan las apps legítimas de bancos) y que me obliguen (dame la opción de SMS aunque no sea lo más seguro del mundo) a instalar una app, tampoco me gusta nada e incluso me genera recelo.

Carlos Pascual, desarrollador de apps en Android y iOS desde hace años confirma: «Son exagerados los permisos y pasa con más apps, por ejemplo la de Vodafone para iOS te pide la localización y es algo que no necesitan para mostrarte tus facturas y consumos. Con las apps de los bancos y los permisos que solicitan pasa lo mismo: de acuerdo con que si quieres localizar una oficina tengas que activar la localización, pero en el momento que lo uses, no antes«.

Veremos qué pasa con los permisos de las apps de los bancos conforme más y más personas deban utilizarlas.