Les utilisateurs d'Android 16 ont une raison supplémentaire de surveiller attentivement les mises à jour de sécurité. Des chercheurs ont découvert une vulnérabilité permettant à l'application Gemini d'effectuer des actions depuis un smartphone verrouillé. Concrètement, l'exploitation d'une simple erreur d'interface permettait aux utilisateurs d'envoyer des SMS ou des messages WhatsApp sans saisir de code PIN. Google a confirmé le problème et a commencé à déployer un correctif. Bien que l'exploitation de cette vulnérabilité nécessite un accès physique à l'appareil, les experts avertissent que ce scénario se produit souvent lors du vol de smartphones. La vulnérabilité a été découverte dans Android 16 et affecté le système d'interaction avec l'assistant Gemini. Le mécanisme d'authentification échouait à un point très spécifique quand il switchait de l'écran de verrouillage à l'application de messagerie. La situation semblait anodine. Lorsque l'utilisateur a désactivé l'accès de Gemini à l'application Messages, l'assistant n'a pas immédiatement envoyé de SMS. Il a plutôt suggéré d'utiliser l'application appropriée. Après avoir sélectionné « Continuer », le téléphone a affiché un écran demandant la saisie d'un code PIN. Le problème survenait lors de l'exécution du geste multitouch approprié. Appuyer simultanément sur le bouton « Continuer » et l'icône « Ajouter une pièce jointe » dans l'interface Gemini contournait la vérification de l'utilisateur. De ce fait, des messages pouvaient être envoyés sans déverrouiller l'appareil.

Les chercheurs soulignent que les capacités de l'attaquant ne se limitaient pas à l'envoi de SMS. Après avoir exploité la vulnérabilité, Gemini pouvait accéder à des applications que le propriétaire avait préalablement bloquées. Cela s'appliquait également à d'autres autorisations nécessitant une authentification. D'après les analyses, il était également possible de consulter et de supprimer l'historique des conversations de Gemini, de modifier certains paramètres de sécurité et d'accéder à certaines données stockées sur l'appareil. Cela confère à cette vulnérabilité un potentiel bien plus important qu'on ne le pensait initialement. Ce qui est également préoccupant, c'est que cette vulnérabilité a été confirmée sur un Pixel 6a doté des derniers correctifs de sécurité. Les chercheurs pensent que le problème provient de la manière dont Gemini gère l'affichage entre l'écran de verrouillage et l'interface complète de l'application. Dans certaines conditions, le système n'a pas pu effectuer les vérifications d'authentification nécessaires et a considéré l'utilisateur comme si le téléphone était déjà déverrouillé. C’est ce moment précis qui a permis d’effectuer des opérations qui nécessitent normalement la saisie d’un code PIN ou l’utilisation de la biométrie.

Les experts rassurent les utilisateurs : exploiter cette faille nécessite un accès physique au smartphone. Cependant, cela ne signifie pas que la menace soit négligeable. Un individu malveillant qui s'emparerait du téléphone pourrait envoyer des messages à la famille, aux amis ou aux collègues du propriétaire. Ce scénario ouvre la voie à la fraude financière, aux tentatives d'extorsion et à l'envoi de fausses demandes d'aide. Depuis des années, les cybercriminels exploitent la confiance accordée aux contacts enregistrés sur les téléphones de leurs victimes. La possibilité d'envoyer un message depuis un numéro légitime renforce considérablement la crédibilité de ce type d'attaque. Google a annoncé que le problème a été résolu et a commencé le déploiement d'une mise à jour de sécurité pour les appareils Android 16. Le correctif sera déployé progressivement auprès des utilisateurs. En attendant la mise à jour, les experts recommandent de désactiver l'option permettant d'utiliser Gemini sans déverrouiller le téléphone. Il est également conseillé de désactiver la possibilité de passer des appels et d'envoyer des messages directement depuis l'écran de verrouillage.