Compre e Confie! Como pode ler meu SMS sem pedir autorização?

Pra quem não conhece, Compre e Confie é um App criado pela união de várias lojas grandes para combater fraude na Internet. Se houver uma compra em qualquer loja participante usando seu CPF você é avisado na hora.

O que me preocupou aqui foi que ao colocar meu número de celular, eles enviaram um código via SMS para confirmar o número. O App não pede e confirmei nas configurações que ele não tem autorização para ler meu SMS. Mesmo assim o SMS chegou e, sem minha intervenção, o App leu o código recebido e autoconfirmou meu celular.

Tem alguma forma no Android de qualquer App ler o SMS do usuário sem autorização expressa?

Onde ficam a segurança e privacidade dos usuários de Android?