Recientemente instalé una aplicación de Android desde Play Store. Mientras me registraba, me di cuenta de que podía leer mi mensaje de OTP sin siquiera pedirme permiso para leer el mensaje.
Tengo AOSP Extended 5.8 con el parche de seguridad de agosto. Es una rom personalizada basada en Android Oreo 8.1.
Respuestas:
La verificación por OTP usa una API diferente que no necesita permiso de lectura de SMS. Puede leer más aquí Realizar verificación de SMS en un servidor
Por lo tanto, la aplicación no lee su SMS sino que usa un canal separado para leer mensajes de texto con formato especial
Me enteré de esto cuando un módulo Xposed para bloquear permisos no funcionó como esperaba (caso similar) y el desarrollador explicó la razón