Superposición y accesibilidad: lo que ve la app atacada

Una superposición es una ventana de otra app dibujada encima de la real. El cliente cree estar escribiendo en la app del banco y escribe en una pantalla ajena. La app atacada no ve el contenido de esa pantalla, pero sí puede ver que hay una ventana encima y de qué paquete es: ese es el rastro que manda a su servidor. Muchas apps legítimas también dibujan encima de otras (una burbuja flotante de tráfico, por ejemplo), así que la señal sola no condena a nadie.

Para el defensor, la superposición tiene dos preguntas: de quién es la ventana, y qué más pasó alrededor. Una ventana de una app conocida junto a una sesión sin otras señales es ruido; la misma ventana de un paquete sin revisar justo antes de una operación sensible es otra cosa.

El archivo eventos-riesgo.csv mezcla eventos de cinco aparatos. Los de una sola señal suelen ser inocentes: un lector de pantalla reconocido, una burbuja de una app de tráfico. Lo que cambia la lectura es que dos señales de la misma app sin revisar coincidan en el tiempo, una tras otra, justo antes de una transferencia. Un servicio de accesibilidad sin revisar que no coincide con ninguna ventana encima es una pregunta para vigilar, no una confirmación.

Un servicio de accesibilidad puede leer lo que muestra la pantalla y pulsar botones. Si uno malicioso está activo, lo que la app del banco enseña y lo que el cliente ve dejan de ser fiables: la pantalla puede mostrar una cosa mientras se ejecuta otra. Por eso el control no puede vivir solo en la pantalla del cliente.

Este es el mismo principio de toda la ruta: el servidor es la frontera. Si la sesión se marca de riesgo, es el servidor quien exige una confirmación por un canal distinto del teléfono, como una llamada del banco, antes de ejecutar una operación que mueve dinero a alguien nuevo.

La telemetría dice qué rodeaba a la app; las transferencias del servidor dicen qué ocurrió. Se cruzan por cuenta, dispositivo y hora. La política dice que, en una sesión de riesgo alto, toda transferencia a un beneficiario nuevo debe confirmarse fuera de la app. Mira la columna de confirmación del servidor: una política que no llega a la práctica se parece mucho a no tener política.