Wystarczy sekunda, by okraść Cię z prywatności. Odkryto groźną lukę w Androidzie

Ekran blokady w naszych smartfonach ma stanowić niezłomną barierę chroniącą prywatne dane przed wścibskimi spojrzeniami i niepowołanymi osobami. Okazuje się jednak, że najnowsza technologia sztucznej inteligencji od Google otworzyła w tej tarczy niebezpieczną szczelinę. W systemie Android 16 odkryto właśnie poważny błąd związany z asystentem Gemini, który umożliwia ominięcie weryfikacji biometrycznej i wysyłanie wiadomości tekstowych oraz komunikatów przez WhatsApp bez podawania kodu PIN.

Jak działa exploit, który oszukuje zabezpieczenia Google?

Redakcja serwisu The Register zaczęła otrzymywać liczne zgłoszenia od zaniepokojonych użytkowników, którzy odkryli prosty, choć niezwykle precyzyjny sposób na przechytrzenie blokady systemu. Problem występuje w specyficznych warunkach, gdy użytkownik pozwala na dostęp do asystenta Gemini bezpośrednio z poziomu zablokowanego ekranu.

Magiczny guzik, który wyłącza ochronę prywatności

W normalnych okolicznościach, jeśli celowo zablokujemy asystentowi dostęp do systemowej aplikacji Wiadomości, próba wysłania SMS-a z zablokowanego ekranu zakończy się fiaskiem. Gemini poprosi o odblokowanie urządzenia i wpisanie kodu PIN. Okazuje się jednak, że system można łatwo zdezorientować. Wystarczy wcisnąć przycisk „Dalej” w dokładnie tym samym ułamku sekundy, w którym naciska się ikonę dodawania załącznika w oknie Gemini. Taki jednoczesny ruch całkowicie zawiesza systemowe mechanizmy obronne, a napisana przez intruza wiadomość zostaje natychmiast wysłana.

WhatsApp w niebezpieczeństwie: Luka jest głębsza, niż sądzono

Na nieszczęściu z SMS-ami sprawa się nie kończy, a wręcz przeciwnie – sytuacja staje się znacznie poważniejsza. Eksperci ds. cyberbezpieczeństwa wykazali, że za pomocą tej samej metody można uzyskać dostęp do zewnętrznych komunikatorów.

Ciche przyznawanie uprawnień za plecami użytkownika

Wpisanie komendy zawierającej frazę @WhatsApp w pole tekstowe Gemini potrafi w ukryciu połączyć odinstalowane lub wcześniej odpięte aplikacje z asystentem AI. Wszystko to dzieje się automatycznie, w tle i bez jakiejkolwiek prośby o autoryzację odciskiem palca czy kodem dostępu. Po całym procederze, gdy legalny właściciel odblokuje w końcu telefon i wejdzie w opcje prywatności, ze zdumieniem odkryje, że WhatsApp jest powiązany z Gemini, tak jakby sam wyraził na to zgodę.

Skala zagrożenia: Kto powinien zacząć się bać?

Przede wszystkim warto uspokoić użytkowników, że nie mamy tutaj do czynienia z atakiem zdalnym. Aby wykorzystać tę podatność, cyberprzestępca lub niepowołana osoba musi fizycznie wejść w posiadanie naszego smartfona. Nie umniejsza to jednak powagi sytuacji. Analitycy ostrzegają, że w przypadku kradzieży telefonu kieszonkowcy mogą błyskawicznie rozesłać do naszych bliskich czy banków bardzo przekonujące wiadomości i wyłudzić pieniądze, zanim w ogóle zorientujemy się o stracie urządzenia.

Czy problem dotyczy wszystkich smartfonów?

Lukę zaobserwowano głównie na urządzeniach działających pod kontrolą czystego systemu Android 16, w tym na smartfonach z serii Google Pixel. Co ciekawe, część użytkowników posiadających telefony marki Samsung zgłaszała, że na ich nakładce systemowej błędu nie da się powtórzyć. Google na ten moment nie wydało oficjalnego oświadczenia z listą konkretnych marek i modeli, które pozostają bezbronne wobec tego exploita.

Google oficjalnie potwierdziło, że wie już o istnieniu problemu i zaklasyfikowało go jako priorytetowy. Koncern z Mountain View zapowiedział, że pełna łatka bezpieczeństwa eliminująca tę lukę pojawi się globalnie jeszcze w tym tygodniu. Zanim jednak odpowiednia aktualizacja trafi na Twój smartfon, warto dmuchać na zimne. Najprostszym i najbardziej rekomendowanym środkiem zapobiegawczym jest natychmiastowe przejście do ustawień telefonu i całkowite wyłączenie możliwości wywoływania asystenta Gemini na zablokowanym ekranie.