El aviso y lo que dice el inventario

Un aviso de fuga llega siempre como una afirmación de otro («recibí publicidad de un tercero»), no como una prueba. Lo primero es separar lo que se sabe de lo que hay que demostrar, y reunir evidencia que se pueda leer sin tocar nada en producción: qué versiones de la app están en la calle, qué componentes trae cada una y qué dijo la empresa que hacía con los datos. Contestar «no hay fuga» solo porque la declaración lo dice es repetir lo que se prometió, no comprobarlo; y retirar piezas a ciegas puede borrar justo la evidencia que explica el caso.

Esta sala es solo lectura de inventario. La traza de lo que sale de la app llega después.

Cada compilación de la app declara los componentes que lleva dentro. Comparar una versión con la anterior dice qué se añadió en cada paso, y esa comparación es la manera más barata de acotar desde cuándo existe una salida posible. Ojo con la diferencia entre un componente nuevo y la actualización de uno que ya estaba: solo lo primero abre una salida que antes no existía.

Consulta la lista de dependencias y busca el componente de medición del tercero. Anota la primera versión de Pedidos que lo trae.

La declaración de privacidad es una promesa pública: dice qué datos se comparten con terceros y para qué. En un caso de fuga es el patrón contra el que se mide la realidad. Un dato que la declaración sí reconoce compartir, con un fin concreto, no es una fuga por el mero hecho de salir; lo que importa es lo que sale y no estaba dicho. Por eso conviene saber exactamente qué cubre la declaración antes de hablar de incumplimiento. Dentro del marco OWASP, estas comprobaciones caen en el grupo de privacidad del MASVS (MASVS-PRIVACY) y en el riesgo M6, Inadequate Privacy Controls, del Mobile Top 10.

Lee la declaración y quédate con la excepción: lo que sí admite compartir.

Con el inventario y la declaración en la mano hay un patrón claro: un componente de un tercero, ausente de lo que la empresa declaró, que entra en una versión concreta. Es una hipótesis fuerte, pero un componente en el paquete prueba que la app puede enviar datos, no qué envía ni a cuántas personas. Afirmar más de lo que muestra la evidencia es el error que más se paga después, cuando alguien contrasta el informe con la realidad.

El informe de esta etapa afirma lo que consta y marca lo que falta, sin adelantar el alcance.