Các nhà nghiên cứu phát hiện lỗ hổng nghiêm trọng trên Android cho phép các ứng dụng đánh cắp dữ liệu nhạy cảm

Sự việc xảy ra: Các nhà nghiên cứu bảo mật đã khôi phục lại kỹ thuật đánh cắp dữ liệu dựa trên trình duyệt đã tồn tại 12 năm để nhắm vào các thiết bị Android , tạo ra một cuộc tấn công mới mạnh mẽ có tên là Pixnapping.

• Phương pháp này cho phép ứng dụng Android độc hại đánh cắp dữ liệu hiển thị trên các ứng dụng hoặc trang web khác — bao gồm thông tin nhạy cảm từ Google Maps , Gmail, Signal, Venmo và thậm chí cả mã 2FA từ Google Authenticator — mà không cần quyền đặc biệt.
• Pixnapping hoạt động bằng cách khai thác kênh phụ phần cứng (GPU.zip) để đọc dữ liệu pixel màn hình thông qua các phép đo thời gian hiển thị. Bằng cách chồng các hoạt động trong suốt và tính toán tốc độ hiển thị pixel, kẻ tấn công có thể tái tạo nội dung màn hình theo từng pixel. Mặc dù kỹ thuật này chỉ rò rỉ 0,6 đến 2,1 pixel mỗi giây, nhưng nó đủ để khôi phục dữ liệu nhạy cảm như mã xác thực.
• Lỗ hổng bảo mật, CVE-2025-48561, ảnh hưởng đến các thiết bị chạy Android 13 đến 16 (bao gồm Pixel 6–9 và Galaxy S25). Bản vá một phần đã được phát hành vào tháng 9 năm 2025, với bản sửa lỗi toàn diện hơn dự kiến ​​vào tháng 12.

Tại sao tôi nên quan tâm: Nếu bạn sử dụng Android, nghiên cứu này nhấn mạnh khả năng dữ liệu bị đánh cắp bí mật mà không có bất kỳ hành động hoặc cảnh báo nào của người dùng.

• Các ứng dụng có thể âm thầm thu thập thông tin nhạy cảm như thông tin ngân hàng, mã 2FA hoặc dữ liệu vị trí chỉ bằng cách theo dõi hoạt động trên màn hình của bạn.
• Mặc dù Google cho biết không có bằng chứng nào về việc khai thác, nhưng sự tồn tại của cuộc tấn công này cho thấy phần mềm độc hại có thể vượt qua các biện pháp bảo mật truyền thống.

Bước tiếp theo: Google đang triển khai các bản sửa lỗi bổ sung để hạn chế việc lạm dụng Blur API và cải thiện khả năng phát hiện. Tuy nhiên, các nhà nghiên cứu cảnh báo rằng các giải pháp thay thế đã tồn tại, và lỗ hổng GPU.zip vẫn chưa được giải quyết triệt để. Cho đến khi tìm ra giải pháp lâu dài, người dùng nên hạn chế cài đặt các ứng dụng không đáng tin cậy và cập nhật thiết bị thường xuyên. Các chuyên gia bảo mật cũng dự đoán sẽ có thêm nhiều cuộc tấn công kênh phụ như Pixnapping xuất hiện khi kẻ tấn công tinh chỉnh các kỹ thuật tinh vi này.