L'app dannosa può leggere le variabili private dalla mia app?

Ho un oggetto locale "Login" (con password e id) nella mia attività e vorrei sapere se lancio un frammento e utilizzo un setter per inizializzare il frammento, è sicuro? Un'app dannosa può leggere l'oggetto Accesso? anche se è privato con un dispositivo di root? In questo modo:

DialogFragment dialogFragment = new dialogFragment();
dialogFragment.setLogin(login);
dialogFragment.show(getFragmentManager(), DIALOG_FRAGMENT_TAG);