Android 17 estrena Protección Avanzada y bloquea la API de accesibilidad para apps no autorizadas

Google está probando una medida de seguridad adicional dentro del modo de Protección Avanzada de Android (AAPM) que limita el acceso a la API de servicios de accesibilidad para aplicaciones que no están diseñadas específicamente para ayudar a personas con discapacidad. La novedad apareció en la Beta 2 de Android 17 y ha llamado la atención porque reduce una superficie de ataque que, en los últimos años, ha sido aprovechada por actores maliciosos para robar datos sensibles.

El modo de Protección Avanzada, introducido con Android 16 como una opción opt‑in para usuarios en riesgo —periodistas, activistas o ejecutivos, por ejemplo— pone el dispositivo en un estado de seguridad reforzada que sacrifica algunas comodidades para minimizar vectores de ataque. Si quieres conocer cómo funciona y qué bloqueos aplica este modo, Google tiene documentación oficial explicando sus acciones y limitaciones en su página de soporte y en la documentación para desarrolladores: soporte de Android sobre AAPM y la guía técnica en developer.android.com.

La restricción que se está probando en Android 17 bloquea el uso de la API AccessibilityService por parte de aplicaciones que no estén declaradas formalmente como herramientas de accesibilidad. Para que una app mantenga ese permiso mientras el modo AAPM está activo, debe llevar el indicador isAccessibilityTool="true" en su configuración y además cumplir con las categorías que Google reconoce como legítimas: lectores de pantalla, sistemas de entrada por interruptores, herramientas de entrada por voz y soluciones para braille. Herramientas como antivirus, automatizadores, asistentes, limpiadores, gestores de contraseñas o lanzadores no entran en esta clasificación y, por tanto, verían sus capacidades limitadas cuando AAPM esté activado. Más detalles sobre cómo se identifican las apps de accesibilidad están disponibles en la guía de Google para desarrolladores y en el centro de políticas de Play: guía de AccessibilityService y documentación sobre isAccessibilityTool.

El motivo de esta decisión es claro: aunque la API de servicios de accesibilidad tiene usos legítimos y valiosos para usuarios con necesidades especiales, también ha sido abusada por aplicaciones maliciosas para capturar información en pantalla, interceptar eventos y exfiltrar credenciales. Al desactivar automáticamente los permisos de accesibilidad para apps que no son herramientas de accesibilidad cuando AAPM está activo, Google pretende cerrar un vector que ha sido explotado con frecuencia. Además, mientras el modo esté encendido los usuarios no podrán conceder manualmente ese permiso a aplicaciones no autorizadas, lo que añade una capa adicional de protección.

Para desarrolladores, Google sugiere integrar la detección del estado de AAPM usando su API de gestión de protección avanzada, de modo que las aplicaciones puedan adaptar su comportamiento cuando el usuario ha optado por ese perfil de mayor seguridad. La API y sus recomendaciones se encuentran en la documentación técnica oficial: AdvancedProtectionManager. Esto permite, por ejemplo, desactivar funcionalidades de alto riesgo o redirigir a flujos que no requieren acceso a la API de accesibilidad cuando corresponda.

Otra novedad incluida en Android 17 es un selector de contactos más granular que permite a las aplicaciones pedir acceso solo a los campos que realmente necesitan, como teléfonos o correos, o dejar que el usuario seleccione contactos concretos sin exponer la libreta completa. Según Google, este nuevo enfoque ofrece una experiencia de usuario uniforme —con búsqueda integrada, cambio de perfil y selección múltiple— y reduce la exposición de datos al limitar la lectura a lo estrictamente necesario. La explicación de esta funcionalidad forma parte del resumen de novedades de Android 17 en el sitio oficial: funciones de Android 17.

En la práctica, estas medidas representan un equilibrio: los usuarios que priorizan la seguridad obtienen una protección más sólida frente a técnicas conocidas de robo de información, a costa de que algunas aplicaciones pierdan funcionalidades que dependen de la API de accesibilidad. Para la mayoría de usuarios eso probablemente no será un problema, pero para organizaciones y desarrolladores que ofrecen servicios legítimos basados en accesibilidad será necesario verificar que cumplen los requisitos de Google y, si procede, adaptar sus apps.

Si te preocupa el riesgo de exposición de tus datos y eres un usuario con mayor probabilidades de ser objetivo de ataques dirigidos, activar el modo de Protección Avanzada puede ser una medida sensata. Si eres desarrollador, revisa la documentación de Google para asegurarte de que tu aplicación declara correctamente su propósito y usa las APIs recomendadas para detectar y respetar el estado de AAPM. Para seguir la cobertura mediática y técnica de esta actualización puedes leer el reporte inicial de Android Authority sobre la Beta 2 de Android 17: Android Authority, además de las fuentes oficiales enlazadas anteriormente.

En definitiva, los cambios en Android 17 muestran una apuesta clara por endurecer la plataforma frente a abusos conocidos, reforzando la protección para usuarios de alto riesgo y empujando a la industria a separar claramente las herramientas que ofrecen accesibilidad legítima de las utilidades que, aunque prácticas, no deberían tener acceso sin controles adicionales.