Google khắc phục lỗi màn hình khóa Android cho phép Gemini gửi SMS/WhatsApp không cần PIN
"Google is fixing an Android 16 lock screen bug affecting Gemini access that can let a person with physical access send SMS or WhatsApp messages without entering the device PIN. The flaw is triggered by a specific multi-touch gesture that bypasses the expected authentication prompt; Google says a fix has been implemented and was scheduled for full deployment this week."
Lỗi có thể dẫn đến bypass xác thực trên màn hình khóa, cho phép gửi SMS/WhatsApp mà không cần PIN khi có truy cập vật lý; mức độ rủi ro tăng do khả năng lạm dụng cho các kịch bản giả mạo tin nhắn.
Tác động chủ yếu nằm ở rủi ro gián tiếp tới người dùng và tổ chức thông qua tin nhắn giả mạo; chi phí phát sinh từ việc hỗ trợ người dùng, truyền thông sự cố và đảm bảo tuân thủ chính sách thiết bị di động khi bản vá chưa được áp dụng rộng rãi.
Google đang triển khai bản sửa cho một lỗi màn hình khóa trên Android 16 có thể bị khai thác khi kẻ tấn công có truy cập vật lý tới thiết bị. Theo thông tin được nêu, một cử chỉ đa chạm (multi-touch gesture) có thể bypass lời nhắc xác thực, cho phép người dùng không nhập PIN vẫn sử dụng Gemini từ màn hình khóa để gửi tin nhắn.
Cơ chế được mô tả như sau: khi chủ sở hữu thu hồi quyền Gemini đối với các ứng dụng như Messages, việc gửi SMS qua Gemini sẽ hiển thị bước yêu cầu mở ứng dụng và chọn “Continue” để nhập PIN. Tuy nhiên, nếu nhấn “Continue” đồng thời với thao tác “Add attachment” của Gemini, thiết bị có thể cho phép gửi SMS mà không cần xác thực. Từ đó, kẻ tấn công có thể kích hoạt quyền Gemini cho các ứng dụng khác trước đó đã bị ngắt kết nối trong Settings (ví dụ nhập “@WhatsApp”).
Google cho biết đây là lỗi đã được biết đến, có bản vá đã triển khai và dự kiến hoàn tất phân phối trong tuần này. Khuyến nghị: người dùng cần cập nhật Android/ứng dụng liên quan ngay khi có bản vá, đồng thời hạn chế rủi ro bằng cách tăng cường kiểm soát thiết bị thất lạc và rà soát cấu hình quyền Gemini trong Settings.