Les aplicacions de caixa forta de fotos són segures? Una auditoria de seguretat del 2026

La majoria d'aplicacions de caixa forta de fotos per a iOS protegeixen la pantalla, no els fitxers. A la nostra auditoria del juny del 2026 de 12 de les aplicacions de caixa forta més instal·lades, només una esmentava un algorisme de xifratge específic a la seva descripció de l'App Store, i 7 de 12 declaraven que et rastregen. Les aplicacions que val la pena confiar són la minoria que esmenten un algorisme real, no tenen cap clau de les teves dades i no recopilen res.

Les aplicacions de caixa forta de fotos no són uniformement segures. A la nostra auditoria del juny del 2026 de 12 de les aplicacions de caixa forta per a iOS més instal·lades, 7 de 12 declaraven que rastregen els usuaris entre aplicacions i llocs web, només 1 esmentava un algorisme específic a la seva descripció, i una dècada d'investigació independent ha trobat repetidament aplicacions que comercialitzen "xifratge" mentre emmagatzemen fitxers en text pla o darrere d'una ofuscació trivial. Les segures esmenten un algorisme real, no requereixen compte i no tenen cap clau de les teves dades.

Que hem auditat i que no hem provat

Vam obtenir l'etiqueta de privadesa de l'app, la política de privadesa publicada i la descripció de l'App Store de les principals aplicacions de caixa forta de fotos i d'amagar fotos a l'App Store dels EUA el juny del 2026, classificades per posició a la botiga i volum de valoracions. Vam classificar cada aplicació pel seu model de seguretat real i vam fer una referència creuada d'una dècada de fallades documentades d'aplicacions de caixa forta, conservant només els incidents amb una font primaria o corroborada.

Hi ha dues limitacions importants. Primer, les etiquetes de privadesa de l'App Store són autodeclarades; Apple no les audita, de manera que una aplicació podria declarar menys del que recopila. Segon, aquesta és una revisió d'etiquetes, polítiques i arquitectura més un registre d'incidents públics. No vam fer capturs de xarxa en directe, de manera que no fem cap afirmació sobre el trànsit que no hem observat personalment. Tot el que hi ha aquí és verificable a partir de les fonts llistades al final d'aquesta pàgina.

Troballa 1: El "xifratge" sol ser una paraula, no un fet verificable

La categoria funciona amb la frase "xifratge de grau militar". Això no vol dir res per si sol. AES-256 és un estàndard públic sense grau militar; la frase es marketing que sobreviu perquè sona com una especificació. El que realment importa és si una aplicació esmenta un algorisme, una longitud de clau i un mètode de derivació de clau que puguis avaluar.

A l'auditoria d'etiquetes de les 12 aplicacions, exactament una esmentava un algorisme concret a la seva descripció de l'App Store: Secret Photos KYMS, que diu "AES". Totes les altres deien "xifratge de grau militar", "emmagatzematge xifrat", "arquitectura de coneixement zero" o no esmentaven cap xifratge. Aprofundint en els llocs web i polítiques de vuit desenvolupadors d'aplicacions, només tres esmentaven un algorisme real en algun lloc dels seus materials oficials: LockMyPix esmenta AES-CTR, la caixa forta al núvol opcional de Private Photo Vault esmenta AES-256, i Calculator# divulga AES-256 amb PBKDF2 a 200.000 iteracions. Aquests tres mereixen crèdit per mostrar el seu treball.

Hi ha una distinció que la majoria de descripcions de caixes fortes difuminen: amagar una foto no és xifrar-la. Amagar mou un fitxer a un lloc menys visible. Xifrar el transforma en text xifrat que es inútil sense una clau. Una pantalla amb PIN que dona accés a una carpeta de fitxers ordinaris és una cortina, no una paret. Qualsevol persona que arribi als fitxers de sota mitjançant una còpia de seguretat, una eina forense o una ordre adb pot entrar directament.

Troballa 2: Les etiquetes de privadesa diuen més que el marketing

Les etiquetes de privadesa de l'app d'Apple són la pàgina més honesta de l'App Store, perquè mentir-hi és una violació de les polítiques. Es on el text de marketing i les pràctiques de dades reals deixen d'estar d'acord. La nostra auditoria del juny del 2026 va trobar que 7 de les 12 aplicacions declaren "Dades utilitzades per rastrejar-te", que és el terme d'Apple per a les dades compartides per rastrejar-te entre les aplicacions i els llocs web d'altres empreses. Només 2 de 12 tenen l'etiqueta "Dades no recopilades" d'Apple, la certificació de privadesa més sòlida de la botiga: Safe Lock i Secret Photo Vault Lock Photos.

Les dues aplicacions amb més valoracions del conjunt, Private Photo Vault (Pic Safe) i SV Private Photo Vault PRO, estan publicades per Legendary Software Labs i juntes tenen aproximadament 1.026 milions de valoracions combinades. Totes dues rastregen els usuaris i, segons les seves pròpies etiquetes, vinculen les teves fotos, vídeos i identificadors de dispositiu a la teva identitat. Best Secret Folder te la petjada de "vinculat a tu" més amplia del conjunt: ubicació, informació de contacte completa incloent nom, correu electrònic i telèfon, i les teves fotos, vídeo i àudio, mentre mostra anuncis. Una aplicació de fotos privades que vincula les teves fotos a la teva identitat i et rastreja entre altres aplicacions està resolent un problema diferent del que et vas descarregar.

Les aplicacions restants de l'auditoria expliquen la seva pròpia història. Private Photo Vault (Pic Safe) i SV Private Photo Vault PRO no esmenten cap algorisme a les seves descripcions, utilitzant només la frase "valor secret per xifrar/desxifrar". Keepsafe descriu el seu xifratge com a "de grau militar" sense esmentar cap algorisme. Privault diu "emmagatzematge xifrat". HiddenVault afirma "arquitectura de coneixement zero" però no esmenta cap algorisme. Calculator# no esmenta cap algorisme a la seva descripció de l'App Store. Best Secret Folder i Hide It Pro no esmenten res. Només KYMS esmenta AES, i només Encamera és de codi obert, la qual cosa ofereix un tipus diferent de verificabilitat.

Troballa 3: Un compte i un backend al núvol són una segona superfície d'atac

El maneig local de fitxers pot ser impecable i l'aplicació pot filtrar igualment, perquè el backend és una superfície d'atac separada. Les aplicacions que requereixen un compte i emmagatzemen els teus fitxers als seus servidors et demanen que confies en una base de dades que no pots inspeccionar.

Keepsafe es l'exemple més clar d'aquesta elecció estructural. Requereix una adreça electrònica abans de poder-la utilitzar, emmagatzema contingut als seus propis servidors, i una anàlisi de seguretat independent va trobar que l'empresa conserva la capacitat d'accedir a les fotos dels usuaris. La seva política de privadesa també és l'única del nostre conjunt que admet que alguns compartiments de dades poden classificar-se en virtut de la llei de California com a venda o compartiment d'informació personal. Aquesta és una divulgació que les altres no van fer, i et diu qui té la clau. Quan un proveïdor té la clau de xifratge, una vulneració del proveïdor és la teva vulneració. El model que evita això és el xifratge de coneixement zero, on el proveïdor no pot llegir les teves dades perquè mai no té la clau.

L'exemple treballat del que surt malament va arribar el 2025. Una aplicació separada anomenada Photo Vault, publicada pel desenvolupador Brain Craft, va deixar la seva base de dades Firebase sense protecció de contrasenya. L'exposició va ser reportada per Cybernews el 2025 i corroborada per The Dead Píxels Society. Va exposar adreces de correu electrònic d'usuaris, contrasenyes en text pla, noms de fitxers i carpetes, i el contingut de la funció de notes segures de l'aplicació, per a una aplicació amb uns 72.000 descàrregues. Per ser precisos: aquesta aplicació de Brain Craft no és el mateix producte que Private Photo Vault o Pic Safe de Legendary Software Labs, malgrat el nom similar. Les fotos en si no estaven a la base de dades, però tot el necessari per atacar els comptes hi era, incloent contrasenyes emmagatzemades en text pla, que una aplicació de caixa forta no hauria de tenir mai en forma llegible, i molt menys exposar.

Troballa 4: El SDK publicitari dins de l'aplicació "privada"

Set de les vuit polítiques de privadesa que vam llegir feien referència a publicitat de tercers. El cas més destacat es NQ Vault, també distribuït com a Vault-Hide, la política del qual llista sis SDK publicitaris incrustats a l'aplicació: AdMob, Facebook Audience Network, InMobi, MoPub, AppLovin i Unity. La feina d'una xarxa publicitària es crear un perfil de l'usuari. Incrustar-ne sis dins d'una aplicació tota la premissa de la qual és la privadesa és la ironia definitòria de la categoria, i consta al text de la política, no es especulació nostra.

El patró general de la revisió de polítiques de vuit aplicacions: només una de les vuit, LockMyPix, es posiciona com a lliure d'anuncis en el seu model principal. Private Photo Vault esmenta cookies de tercers i publicitat. Privault llista AdMob i analytics d'Umeng. Best Secret Folder fa referència a anuncis personalitzats, Google Analytics i Firebase. Hide It Pro fa referència a un SDK publicitari de tercers. Les aplicacions que no mantenen cap núvol, no requereixen cap compte i esmenten un algorisme són l'excepció, no la norma.

Una dècada de fallades documentades

Res d'això es nou. El patró de "xifratge" que no és xifratge ha estat documentat repetidament des del 2014, per investigadors identificats i estudis revisats per experts. A continuació hi ha el registre d'incidents amb nivells de confiança, perquè alguns estan millor documentats que d'altres.

El setembre del 2014, l'investigador forense Jonathan Zdziarski va demostrar que Private Photo Vault, que aleshores declarava més de 3 milions d'usuaris, no aplicava cap xifratge més enllà de l'emmagatzematge iOS predeterminat. Les fotos eren recuperables en text pla en uns cinc minuts. Aquest incident està verificat amb una font primaria a zdziarski.com.

L'abril del 2015, The Register i Slate van informar que NQ Mobile Vault, que comercialitzava "xifratge" i tenia més de 10 milions de descàrregues, aplicava una operació XOR d'un sol byte només als primers 128 bytes de cada fitxer. Això deixa 256 claus possibles i la resta de cada fitxer en text pla. Aquest incident està verificat.

El novembre del 2015, l'investigador d'IOActive Michael Allen va provar Private Photo Vault, una aplicació anomenada "My Media" i Keepsafe, i va entrar a les tres en menys de 30 minuts cadascuna. Els mètodes van incloure PIN en text pla emmagatzemats en fitxers de llista de propietats, un servidor web no autenticat al port 5555, i contrasenyes d'àlbum retornades en text pla des del servidor. Aquest incident està verificat.

El 2017, Zhang, Baggili i Breitinger van publicar un estudi revisat per experts a Computers and Security (volum 70) que analitzava 18 aplicacions de caixa forta per a Android amb uns 220 milions de descàrregues combinades. Sis no xifraaven les fotos emmagatzemades, 7 emmagatzemaven contrasenyes en text pla, i 10 exposaven dades ocultes sense accés root. La recerca va ajudar a recuperar evidències en un cas penal: 66 imatges i 18 vídeos. Aquest estudi està verificat.

El juny del 2019, un investigador que publicava com a forensicmike1 va trobar que Private Photo Vault havia afegit xifratge AES via RNCryptor, però la clau mestra estava emmagatzemada estàticament al Keychain d'iOS i mai no es renovava quan l'usuari canviava el PIN. Un PIN de 4 dígits feia la clau trivialment atacable per força bruta. Aquest incident està verificat.

El 2022, Ruffin i col·legues van publicar un estudi revisat per experts a ACM WPES que analitzava 20 aplicacions de caixa forta populars per a Android amb més de 10 milions de descàrregues cadascuna. Només 5 de 20 intentaven xifrar fitxers. 15 eren completament recuperables amb un simple adb pull, i 7 emmagatzemaven PIN o correus de recuperació en text pla. Aquest estudi està verificat.

El febrer del 2025, Kaspersky va informar de la campanya SparkCat: programari malicits trobat en aplicacions tant a l'App Store com a Google Play que utilitzava reconeixement òptic de caràcters al dispositiu per escanejar les biblioteques de fotos dels usuaris en cerca de frases llavor de criptomonedes i captures de pantalla de contrasenyes, i després exfiltrava les coincidències. Apple i Google van eliminar les aplicacions. Va ser el primer lladre de fotos basat en OCR que se sap que va superar la revisió de l'App Store. Aquest incident està verificat.

Dos incidents addicionals tenen verificació parcial i s'han de llegir amb aquesta advertència. Una anàlisi del 2021 va trobar una família d'aplicacions de caixa forta estil calculadora per a Android que compartien una sola clau AES-CBC codificada directament entre totes les instal·lacions, el que significava que una clau coneguda desxifrava els medis de tots els usuaris. Això està parcialment verificat, a partir d'un sol investigador tècnicament específic. Per altra banda, l'aplicació Vault-Hide va ser marcada pel Ministeri d'Electròniques i Tecnologia de la Informació d'India el 2017 per exfiltrar números de telèfon, números IMEI i llistes d'aplicacions instal·lades, i es diu que va eludir l'eliminació reanomenant-se. Això està parcialment verificat a través de fonts secundàries de Cybernews i CPO Magazine.

Un punt de dades es notable per la seva absència: no hem trobat cap CVE assignat a cap aplicació de caixa forta de fotos de consum. La divulgació formal més propera és un avís del 2018 sobre un producte "Photo Vault" no relacionat amb un servidor WiFi no autenticat, classificat com a severitat mitjana (CVSS 4.8), sense CVE emès (Full Disclosure de seclists.org, gener del 2018). La categoria no està formalment rastreada, el que significa que la majoria d'aquestes fallades van ser descobertes per investigadors independents fora de qualsevol procés de divulgació coordinada.

Com avaluar realment una aplicació de caixa forta

No cal fer enginyeria inversa de res. Cinc preguntes filtren la majoria del risc. Primera: esmenta un algorisme? "AES-256" o "AES-GCM" és una afirmació que pots comprovar. "De grau militar" no. Segona: requereix un compte? Un correu electrònic i una contrasenya creen un magatzem de credencials que pot filtrar-se, com va demostrar l'incident de Firebase de Brain Craft. Tercera: si fa còpies de seguretat al núvol, qui té la clau? Si el proveïdor pot restablir la teva contrasenya i recuperar les teves fotos, el proveïdor pot llegir les teves fotos, i també qualsevol persona que vulneri el proveïdor.

Quarta: què diuen l'etiqueta de privadesa de l'app i la política? Obre la secció de privadesa de l'app. Si et rastreja o vincula les teves fotos a la teva identitat, creu-ho. Llegeix la política per veure les divulgacions sobre SDK publicitaris. Cinquena: es auditable? "Dades no recopilades", algorismes concrets amb detalls de derivació de claus, i codi obert són senyals que una aplicació espera ser examinada. Les aplicacions que no es poden comprovar confien en que tu no les comproves.

On s'encaixa Vaultaire en aquest panorama

Hem construït Vaultaire al voltant de les classes de fracàs específiques documentades anteriorment, per la qual cosa és just mesurar-nos en funció d'elles en lloc de contra el màrqueting. Un patró de 5 per 5 i una sal de Keychain per a tot el dispositiu alimenten PBKDF2-HMAC-SHA512 per derivar la clau de la caixa forta local. Aquesta clau autentica l'índex xifrat i desembolica una clau mestra aleatòria per al xifratge separat de fitxers AES-256-GCM. El patró protegit i el material de recuperació romanen en una base de dades xifrada del Keychain, i l'autenticació AES-GCM ofereix a l'emmagatzematge copiat una prova fora de línia per verificar patrons.

Vaultaire no requereix cap compte d'identitat i no envia a Wraxle fitxers de caixa forta llegibles ni claus de desxifrat de text pla. La còpia de seguretat d'iCloud, activada per defecte, es xifra abans de pujar-la amb una clau de còpia de seguretat independent. Apple encara pot observar metadades del compte i del servei de CloudKit, i l'aplicació, iOS, el Keychain i un dispositiu desbloquejat romanen dins del límit de confiança. Això no és una afirmació que Vaultaire sigui l'única opció segura. És un límit de clau de proveïdor que es pot comparar amb els errors documentats anteriorment i es pot comprovar amb el model de seguretat publicat.

Lectura relacionada:

• Són segures les aplicacions de caixa forta de fotos? La versió curta
• Que significa realment el xifratge AES-256
• El xifratge de coneixement zero, explicat
• Que diuen realment les polítiques de privadesa de l'emmagatzematge de fotos al núvol
• Com la clau de la caixa forta derivada del patró de Vaultaire desbloqueja la clau mestra

Preguntes freqüents

Les aplicacions de caixa forta de fotos són realment segures?

Depèn completament de l'aplicació, i la majoria són més dèbils del que semblen. A la nostra auditoria del juny del 2026, 7 de 12 de les aplicacions de caixa forta per a iOS més instal·lades declaraven que et rastregen, i només 1 esmentava un algorisme concret a la seva descripció. Una dècada d'investigació ha trobat repetidament aplicacions que comercialitzen "xifratge" mentre emmagatzemen fitxers en text pla o darrere d'una ofuscació trivial. Les segures esmenten un algorisme real, no requereixen compte i no tenen cap clau de les teves dades.

Pot el desenvolupador d'una aplicació de caixa forta de fotos veure les meves fotos?

Si l'aplicació emmagatzema les teves fotos al seu propi núvol i pot recuperar el teu compte quan oblides la contrasenya, aleshores sí: el desenvolupador te la clau de xifratge i tecnicamente pot accedir a les teves fotos, com també pot qualsevol persona que vulneri els servidors del desenvolupador. Una anàlisi independent va trobar que aquest era el cas de Keepsafe. Les aplicacions que són de coneixement zero o només locals no poden veure les teves fotos perquè mai no tenen la clau.

Private Photo Vault (Pic Safe) està realment xifrat?

La caixa forta al núvol opcional de Private Photo Vault esmenta AES-256, que és un algorisme real. Però l'aplicació té un historial documentat de debilitats: no es va trobar xifratge el 2014 (Zdziarski), es va vulnerar en menys de 30 minuts el 2015 (IOActive), i es va trobar una clau mestra estàtica que no es renovava el 2019 (forensicmike1). L'etiqueta de privadesa actual de la seva App Store també declara que et rastreja i vincula les teves fotos a la teva identitat.

Les aplicacions de caixa forta de fotos realment utilitzen xifratge, o només un PIN?

Moltes utilitzen només un PIN sobre una carpeta oculta, que no és xifratge. Amagar mou un fitxer a una ubicació menys visible; el fitxer continua sent llegible per qualsevol persona que hi arribi mitancant una còpia de seguretat o una eina forense. Un estudi revisat per experts del 2022 de 20 aplicacions de caixa forta per a Android (Ruffin et al., ACM WPES) va trobar que només 5 intentaven xifrar fitxers realment, i 15 eren completament recuperables amb un simple adb pull. El xifratge real transforma el fitxer en text xifrat que requereix una clau.

Què passa amb les meves fotos si elimino una aplicació de caixa forta?

Si l'aplicació només va amagar els fitxers (sense xifratge), els fitxers poden romandre al dispositiu en una ubicació accessible o a les còpies de seguretat. Si l'aplicació va xifrar els fitxers localment i elimines l'aplicació sense exportar, el text xifrat pot tornar-se irrecuperable perquè la clau ha desaparegut. Si l'aplicació va utilitzar emmagatzematge al núvol, els fitxers poden persistir als servidors del proveïdor. Comprova la documentació d'exportació i eliminació de l'aplicació abans de desinstal·lar-la.

Les eines forensiques o la policia poden saltar-se el PIN d'una aplicació de caixa forta de fotos?

La protecció només per PIN ofereix poca resistència a les eines d'extracció forense. La investigació del 2014, 2015, 2017 i 2022 va mostrar que els PIN d'aplicacions de caixa forta es saltaven en minuts o es recuperaven fitxers sense cap autenticació. Un PIN de 4 dígits trobat a la implementació del 2019 de Private Photo Vault es va assenyalar com a trivialment atacable per força bruta. El xifratge real de fitxers amb una funció de derivació de clau sòlida augmenta significativament la barra; un PIN d'accés per si sol no ho fa.

Keepsafe ven les meves dades?

La política de privadesa de Keepsafe és l'única del nostre conjunt d'auditoria que estableix explícitament que alguns compartiments de dades poden classificar-se en virtut de la llei de California com a "venda" o "compartiment" d'informació personal. La política també fa referència a socis publicitaris. Aquesta és una divulgació que les altres aplicacions del nostre conjunt no van fer. Si això constitueix una venda depèn de la definició legal aplicada, però la política és la més explícita de la categoria en aquest punt.

Quina és la diferència entre amagar fotos i xifrar-les?

Amagar mou un fitxer a un lloc menys visible al dispositiu; el fitxer subjacent no canvia i es llegible per qualsevol persona amb accés a l'emmagatzematge, incloent eines de còpia de seguretat o programari forense. Xifrar transforma el fitxer en text xifrat que es il·legible sense la clau correcta. Moltes aplicacions de caixa forta només amaguen. Un estudi acadèmic del 2022 (Ruffin et al.) va trobar que 15 de 20 aplicacions de caixa forta populars per a Android eren recuperables amb un adb pull bàsic, sense necessitat de desxifrar.

És segur activar la còpia de seguretat al núvol en una aplicació de caixa forta de fotos?

Només si la còpia de seguretat es xifra abans de sortir del teu dispositiu i el proveïdor no pot desxifrar-la. Si el proveïdor pot recuperar els teus fitxers quan perds la contrasenya, la còpia de seguretat és llegible pel proveïdor i queda exposada en qualsevol vulneració del servidor. L'incident de Firebase de Brain Craft del 2025 va exposar correus electrònics, contrasenyes en text pla i noms de carpetes precisament perquè el costat del núvol no tenia cap protecció. Busca arquitectura de coneixement zero amb xifratge abans de la pujada.

Quina aplicació de caixa forta de fotos no requereix compte ni accés a internet?

Diverses aplicacions funcionen completament fora de línia sense cap compte. A la nostra auditoria, dues portaven l'etiqueta "Dades no recopilades" d'Apple: Safe Lock i Secret Photo Vault Lock Photos. Vaultaire no requereix cap compte d'identitat, adreça de correu electrònic o connexió de xarxa per xifrar i emmagatzemar fitxers. Això elimina un magatzem de credencials de compte gestionat per desenvolupadors, la classe d'exposició demostrada per l'incident de Brain Craft Firebase de 2025. No elimina el dispositiu, Keychain, CloudKit, analítiques o superfícies d'atac del sistema operatiu.