Un gruppo di ricercatori dell’Università di Genova, Dipartimento di informatica, bioingegneria, robotica e ingegneria dei sistemi – Dibris, e di Eurecom Graduate School and Research Center in Digital Science (Biot Sophia Antipolis, Francia) ha individuato nuove vulnerabilità in Android, il più diffuso sistema operativo per dispositivi mobili.
Le falle individuate consentono di realizzare un attacco di phishing, semplice da attuare ed estremamente efficace, che permette di rubare le credenziali dell’utente (login e password) da ogni applicazione installata e su qualsiasi versione del sistema operativo finora sviluppata.
I ricercatori hanno proposto al team sicurezza di Android alcune soluzioni per sanare tali vulnerabilità, che verranno probabilmente rilasciate già nei prossimi aggiornamenti del sistema operativo.
La collaborazione tra UniGge ed Eurecom aveva già portato a risultati significativi in questo campo di studio. Nel 2018, lo stesso gruppo di ricerca è riuscito a ingannare i più famosi password manager forzandoli a consegnare le credenziali salvate ad app malevole, anche in questo caso tramite un attacco di phishing.
Mentre all’epoca l’attacco di phishing abusava di alcune nuove funzionalità introdotte in Android 8, questa nuova scoperta si basa su una funzionalità disponibile fin dalla prima versione del sistema operativo. Per questo motivo, il nuovo attacco è attuabile a prescindere dal dispositivo o dalla versione del sistema, e ha un impatto molto maggiore.
