Eu instalei recentemente um aplicativo Android da Play Store. Ao me registrar, percebi que era capaz de ler minha mensagem do OTP sem sequer pedir minha permissão para ler a mensagem.
Eu tenho o AOSP Extended 5.8 com o patch de segurança de agosto. É uma ROM personalizada baseada no Android Oreo 8.1.
Respostas:
A verificação pelo OTP usa uma API diferente, que não precisa de permissão de leitura por SMS. Você pode ler mais aqui Executar verificação de SMS em um servidor
Portanto, o aplicativo não está lendo seu SMS, mas usando um canal separado para ler mensagens de texto especialmente formatadas
Soube disso quando um módulo Xposed para bloquear permissões não funcionou como eu esperava (caso semelhante) e o desenvolvedor explicou o motivo