Krytyczny błąd w Androidzie 16. Gemini wysyła SMSy z zablokowanego telefonu

Użytkownicy Androida 16 właśnie otrzymali kolejny powód, by uważnie śledzić aktualizacje zabezpieczeń. Badacze odkryli lukę, która pozwalała aplikacji Gemini wykonywać działania z poziomu zablokowanego smartfona. W praktyce wystarczyło wykorzystać prosty błąd w obsłudze interfejsu, aby wysłać wiadomość SMS lub komunikat w WhatsApp bez wpisywania kodu PIN.

Google potwierdziło istnienie problemu i rozpoczęło udostępnianie poprawki. Choć wykorzystanie podatności wymaga fizycznego dostępu do urządzenia, eksperci alarmują, że właśnie taki scenariusz często pojawia się podczas kradzieży smartfonów.

Gemini potrafiło ominąć ekran blokady

Luka została wykryta w Androidzie 16 i dotyczyła współpracy systemu z asystentem Gemini. Mechanizm uwierzytelniania zawodził w bardzo konkretnym momencie przechodzenia z ekranu blokady do aplikacji odpowiedzialnej za wysyłanie wiadomości.

Scenariusz wyglądał pozornie niewinnie. Gdy użytkownik wyłączył Gemini możliwość korzystania z aplikacji Wiadomości, asystent nie wysyłał SMS-a od razu. Zamiast tego proponował przejście do odpowiedniej aplikacji. Po wybraniu opcji „Kontynuuj” telefon wyświetlał ekran wymagający wpisania kodu PIN.

Problem pojawiał się w chwili wykonania odpowiedniego gestu wielodotykowego. Jednoczesne naciśnięcie przycisku „Kontynuuj” oraz ikony dodawania załącznika w interfejsie Gemini powodowało pominięcie weryfikacji użytkownika. W efekcie możliwe było wysyłanie wiadomości bez odblokowania urządzenia.

Użytkownicy mogą zmniejszyć ryzyko, wyłączając możliwość korzystania z Gemini bez odblokowywania lub blokowania połączeń i wiadomości z poziomu ekranu blokady. 

Nie chodziło tylko o SMS-y

Badacze zwracają uwagę, że możliwości atakującego nie kończyły się na wysyłaniu wiadomości tekstowych. Po wykorzystaniu podatności można było ponownie nadać Gemini dostęp do aplikacji, które właściciel wcześniej zablokował. Dotyczyło to również innych uprawnień wymagających autoryzacji użytkownika.

Według analiz możliwe było także przeglądanie i usuwanie historii rozmów Gemini, zmiana części ustawień bezpieczeństwa oraz uzyskanie dostępu do wybranych danych zapisanych na urządzeniu.

To sprawia, że luka miała znacznie większy potencjał niż początkowo przypuszczano.

Problem występował nawet po instalacji wszystkich aktualizacji

Niepokojące jest również to, że podatność została potwierdzona na telefonie Pixel 6a z najnowszymi poprawkami bezpieczeństwa. Zdaniem badaczy źródłem problemu był sposób, w jaki Gemini przełączał się pomiędzy ekranem blokady a pełnym interfejsem aplikacji. W określonych warunkach system nie wykonywał poprawnej kontroli uwierzytelnienia i traktował użytkownika tak, jakby telefon był już odblokowany.

To właśnie ten moment umożliwiał wykonanie operacji, które normalnie wymagają wpisania kodu PIN lub użycia biometrii.

Kradzież telefonu mogła zamienić się w poważniejsze zagrożenie

Eksperci uspokajają, że wykorzystanie błędu wymagało fizycznego dostępu do smartfona. Nie oznacza to jednak, że zagrożenie było niewielkie. Przestępca, który wszedłby w posiadanie telefonu, mógł wysyłać wiadomości do rodziny, znajomych lub współpracowników właściciela urządzenia. Taki scenariusz otwiera drogę do oszustw finansowych, prób wyłudzenia pieniędzy czy rozsyłania fałszywych próśb o pomoc.

Cyberprzestępcy od lat wykorzystują zaufanie kontaktów zapisanych w telefonie ofiary. Możliwość wysłania wiadomości z autentycznego numeru znacząco zwiększa wiarygodność takiego ataku.

Google już przygotowało poprawkę

Google poinformowało, że problem został usunięty i rozpoczęło wdrażanie aktualizacji zabezpieczeń dla urządzeń z Androidem 16. Poprawka ma trafić do użytkowników etapami.

Do czasu instalacji aktualizacji specjaliści zalecają wyłączenie opcji pozwalającej korzystać z Gemini bez odblokowywania telefonu. Warto również dezaktywować możliwość wykonywania połączeń i wysyłania wiadomości bezpośrednio z ekranu blokady.