No necesariamente
Los sistemas operativos en general y Android en particular, implementan un modelo de privilegio para acceder a los datos (cuando instala una aplicación, puede decidir qué permisos desea otorgar. También puede editar esos permisos más adelante). Si un código malicioso se hace cargo de una aplicación, tendrá el mismo nivel de privilegio que la aplicación afectada.
Si la aplicación afectada tiene permisos para leer el contenido del archivo, el malware definitivamente puede acceder a algunos datos de otras aplicaciones (por ejemplo, las aplicaciones del explorador de archivos pueden mostrar sus fotos de WhatsApp). Es una buena práctica para las aplicaciones evitar el almacenamiento de datos confidenciales en archivos, pero si es necesario, encriptarlos.
Por supuesto, todo esto no impide que el malware explote una vulnerabilidad para obtener privilegios de root, pero ese es un problema diferente.