OnePlus lleva años presumiendo de vender teléfonos “premium” a precio contenido. Pero, lo cierto, es que de un tiempo a esta parte ha perdido ese ‘aura’ que le acompañaba y que ente otras cosas, hablaba maravillas de su sistema operativo. Y es una lástima porque, a mi, personalmente, OxygenOS es un software que me encantaba, pero desde que la marca unificó los departamentos de I+D+I con OPPO, ha perdido gran parte de su encanto.
Es más, cada vez tiene más fallos, y el último hallazgo de la firma de ciberseguridad Rapid7 lo confirma: millones de dispositivos OnePlus con OxygenOS arrastran una vulnerabilidad que permite a cualquier aplicación instalada leer datos y metadatos de SMS y MMS sin pedir permiso ni notificar al usuario. Dicho de otro modo, el teléfono que debería proteger tus mensajes privados los expone como si nada.
Grave vulnerabilidad en móviles de OnePlus
El fallo, registrado como CVE-2025-10184, no es una minucia. Rapid7 comprobó la vulnerabilidad en varios modelos, entre ellos el OnePlus 8T y el 10 Pro con diferentes versiones del software, concretamente, OxygenOS 12, 14 y 15, pero advirtió que el problema se extiende a más dispositivos y versiones. Y lo peor: no se trata de un simple descuido aislado, sino de un error de diseño en la propia capa de software que OnePlus añadió sobre Android.
Para “diferenciarse” de la base estándar de Android, la compañía china introdujo proveedores de contenido adicionales, como PushMessageProvider o ServiceNumberProvider. El problema es que al hacerlo omitió declarar permisos críticos como READ_SMS. El resultado es que cualquier app, incluso sin privilegios de SMS, puede acceder a esa información. Por si fuera poco, esto también permite ataques de inyección SQL que reconstruyen los mensajes carácter por carácter. Un regalo en bandeja para cualquiera con malas intenciones.
La gravedad del fallo es más que evidente, pues más allá de la invasión a la privacidad, hablamos de un riesgo directo para los sistemas de verificación en dos pasos basados en SMS, muy usados en banca, correo electrónico y redes sociales. Si una aplicación maliciosa puede interceptar esos códigos sin levantar sospechas, el robo de cuentas es cuestión de minutos.
OnePlus no responde
Hasta aquí, podría parecer la típica historia de un bug descubierto y parcheado rápidamente. Pero lo que de verdad deja a OnePlus en mal lugar es su reacción. O más bien, la ausencia de ella. Rapid7 asegura que intentó contactar con la empresa en repetidas ocasiones entre mayo y agosto, usando diferentes direcciones y canales. Siete intentos ignorados antes de verse obligados a hacer público el informe, incluyendo un exploit de prueba de concepto.
Solo claro, tras verle las orejas al lobo, después de la publicación, OnePlus reconoció la existencia del fallo y dijo estar “investigando”. Pero claro, ya es demasiado tarde, sobre todo para su reputación. Que la marca no responda durante meses a un aviso crítico roza lo irresponsable, pues, está dejando a los usuarios expuestos sin un parche oficial a la vista, aún tras haber afirmado que está investigando el problema de seguridad.
¿Qué hacer hasta entonces? Los propios investigadores, y no la maca, son quienes recomiendan instalar solo aplicaciones de confianza, limitar el número de apps en el dispositivo y abandonar los SMS como método de autenticación.