📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
Te llega una clave por el mensajero de la pega, la copias con la uña, cambias de app, la pegas y listo. Tres segundos. Nadie vio nada, o eso crees. Desde Android 12 el sistema trata de protegerte mostrando un mensaje fugaz cada vez que una aplicación pega contenido que no es de ella. Ese cartelito de dos segundos es la única señal que tienes de que alguien leyó el portapapeles.
Un investigador independiente, Toni Noble, demostró que ese aviso se puede dejar en nada con una trampa casi risueña: una app maliciosa dispara dos mensajes propios en ráfaga y el último tapa al del sistema. El usuario ve un cartel cualquiera, sin contexto, y no se entera de que su clave, su token o su código de doble factor acaba de salir del teléfono.
Ingeniería social de dos segundos
El contexto importa. Desde Android 10 las apps no pueden leer el portapapeles en segundo plano, y desde Android 12 cada pegado fuera de la app de origen genera la notificación fugaz. Además existe la bandera EXTRA_IS_SENSITIVE, que los desarrolladores pueden poner para que el teclado no muestre la vista previa de lo copiado. Suena razonable, pero la marca solo oculta la vista previa: el valor copiado sigue siendo perfectamente legible para cualquier app que esté al frente. Toda la documentación de Google sobre el tema termina descargándole la responsabilidad del manejo seguro del portapapeles a los propios desarrolladores. Es decir, la plataforma te dice «nosotros no, el problema es de quien escribió la app».
El bypass juega justo ahí. La notificación es un componente visual débil, fácil de camuflar. La demo del investigador usa una app de prueba trivial, la técnica sirve para cualquier objetivo: copias la clave de superusuario que te mandó soporte, la pegas en el navegador, y la app que pego en silencio ya se la llevó. Después ni aparecen rastros claros; la clave puede revenderse tal cual o completarse con un poco de OSINT para asociarla a tu cuenta.
La respuesta de Google: no arreglar
El detalle se escribió a fines de julio de 2026, pero la divulgación quedó en pausa mientras el equipo de seguridad de Android lo revisaba. La resolución llegó el 13 de noviembre y no fue un parche: clasificaron el problema como un CVE de severidad moderada y lo cerraron como Won’t Fix. Solo entonces el escritor publicó el detalle completo.
Me parece un mal precedente. Un toast no es un control de seguridad, es decoración de experiencia de usuario, y si la única defensa de un canal sensible depende de que el usuario lea un aviso que cualquier app puede reemplazar, la defensa no existe. La petición que el investigador archivó en el rastreador de Google pide algo mucho más sensato: permisos de portapapeles por aplicación, igual que cámara, micrófono o ubicación. Esa casilla existe en tu teléfono hace años para otras cosas y no hay ninguna razón técnica para que el portapapeles quede fuera. Que Google la rechace con un Won’t Fix dice más de las prioridades del equipo que del riesgo.
Mientras tanto, en tu teléfono
Lo práctico mientras no cambie nada: no copies claves sueltas desde mensajeros. Usa el gestor de contraseñas con autollenado, que escribe directamente en el campo sin pasar por el portapapeles. Y si te toca copiar algo sensible fuera de contexto, pégalo de inmediato y después copia cualquier texto tonto encima para limpiar el búfer. Es la misma higiene de siempre, pero ahora con un motivo documentado.
Fuente de inspiración: Ctrl+C, Ctrl+v, Ctrl+cve: Bypassing Android’s Clipboard Read Security Measures
