Google ha solucionado un fallo de seguridad en Android 16 que permitía a usuarios no autenticados enviar mensajes SMS y WhatsApp desde la pantalla de bloqueo usando Gemini, el asistente de inteligencia artificial integrado en el sistema.
Por qué importa: Esta vulnerabilidad podía ser explotada con acceso físico al dispositivo para enviar mensajes sin necesidad de ingresar el PIN, lo que representa un riesgo para la privacidad y seguridad de los usuarios.
Lo esencial
El fallo permitía enviar SMS y mensajes de WhatsApp desde la pantalla de bloqueo sin autenticación.
Se explotaba mediante una combinación de gestos multitáctiles y comandos en Gemini.
Google implementó un parche que comenzó a desplegarse esta semana para corregir la vulnerabilidad.
Imagen de referencia: The Register.
Detalles del fallo en Gemini y Android 16
Desde mayo se reportaron casos en los que usuarios podían evadir la autenticación del dispositivo Android 16 para usar Gemini en la pantalla de bloqueo. Al intentar enviar un SMS, Gemini solicitaba abrir la app correspondiente y pedir el PIN. Sin embargo, al pulsar simultáneamente "Continuar" y "Agregar adjunto", el sistema permitía enviar mensajes sin pedir el PIN.
Además, era posible reactivar el acceso de Gemini a otras aplicaciones desconectadas previamente, como WhatsApp, simplemente ingresando comandos específicos en la ventana de texto de Gemini, sin necesidad de autenticarse.
Impacto y riesgos prácticos
Este fallo requiere acceso físico al dispositivo, pero dada la alta incidencia de robos de teléfonos, especialmente en países como Reino Unido, el riesgo es significativo. Atacantes podrían enviar mensajes fraudulentos o participar en estafas como secuestros falsos, usando el teléfono de la víctima sin su consentimiento.
La vulnerabilidad no se limita a dispositivos Pixel, aunque Google no especificó qué marcas o modelos son vulnerables. Esto sugiere que el problema afecta a múltiples fabricantes que usan Android 16 con Gemini habilitado.
Respuesta de Google y estado del parche
Google confirmó que el fallo era conocido y que ya implementó una solución que comenzó a desplegarse esta semana. La compañía no detalló el alcance exacto del parche ni los dispositivos afectados, pero aseguró que la corrección está en proceso de distribución.
Los usuarios deben mantener sus dispositivos actualizados para recibir esta corrección y evitar posibles explotaciones de esta vulnerabilidad.
Preguntas frecuentes sobre el fallo de Gemini en Android 16
¿Qué es Gemini en Android?
Gemini es un asistente de inteligencia artificial integrado en Android que permite interactuar con aplicaciones y servicios mediante comandos de texto o voz.
¿Se necesita acceso físico para explotar esta vulnerabilidad?
Sí, el atacante debe tener acceso físico al dispositivo para realizar los gestos y comandos que permiten enviar mensajes sin autenticación.
