Các nhà nghiên cứu Đức phát hiện 99,7% các máy chạy Android có thể phát đi mã số xác thực tài khoản Google khi kết nối qua mạng Wi-Fi mở, giúp cho các kẻ tấn công dễ dàng truy cập vào nó.

Vấn đề nằm ở cách một số ứng dụng Android giao tiếp với các máy chủ nền tảng điện toán đám mây. Theo như các nhà nghiên cứu phát hiện, các ứng dụng truyền tải tên người dùng và mật khẩu vào máy chủ một cách an toàn và trả về một mã thông báo xác thực để được sử dụng vì thế các ứng dụng không cần phải đăng nhập lại nhiều lần.

Tuy nhiên, theo báo cáo, mã thông báo gửi trả này là liên kết yếu vì nó thường được truyền tải một cách không an toàn, rất dễ dàng bị lấy trộm. Một kẻ tấn công có thể ăn cắp bằng cách can thiệp vào mạng Wi-Fi mở mà người dùng sử dụng. Và trong khi các mã số có giá trị đến hai tuần (từ bất kì thiết bị nào), những kẻ tấn công có thể xâm nhập và đồng bộ địa chỉ liên lạc hoặc các mục lịch của chủ nhân tới một thiết bị của riêng chúng. Vì vậy, chiếc máy Android có thể sẽ làm lộ thông tin cá nhân mà người dùng không hề hay biết.

Các nhà nghiên cứu đã thử nghiệm trên nhiều điện thoại Android khác nhau, từ các nhà cung cấp khác nhau, chạy hệ điều hành phiên bản khác nhau và thấy rằng đồng bộ hóa địa chỉ liên lạc và dữ liệu lịch được thực hiện không an toàn trên những phiên bản trước Android 2.3.3. Ứng dụng Gallery (phát triển bởi một bên thứ ba, không phải của Google) sử dụng phương thức kết nối không an toàn ngay cả trong phiên bản Android mới nhất.

Thật không may, vấn đề không chỉ giới hạn trong các ứng dụng bản địa của Android, các ứng dụng bên thứ ba cũng dễ bị xâm nhập và cần phải được cập nhật để vá lỗ hổng này.

Theo GSM Arena