Um princípio-chave do Android é que todos os aplicativos devem ser isolados uns dos outros. Isto é alcançado por meio do uso das chamadas sandboxes.
A ideia é evitar que um programa malicioso, mesmo que se infiltre em seu dispositivo Android, roube dados que outros aplicativos bons armazenam.
O problema é que qualquer programa com acesso para ler/escrever no armazenamento externo pode ser capaz de acessar e modificar os arquivos, e adicionar algo malicioso.
O problema encontra-se quando um aplicativo realiza o download de algum arquivo de atualização dele ou de processamento. Neste momento o arquivo fica em uma área compartilhada para depois ser enviado para a sandbox do aplicativo. Então um app malicioso com permissão de leitura/escrita pode se aproveitar deste momento e inserir um código malicioso.
Fonte:https://www.google.com/amp/m.tecmundo.com.br/amp/seguranca/137469-cuidado-homem-disco-nova-maneira-hackear-android.htm