Por acidente, um pesquisador húngaro descobriu um bug de segurança do Android que lhe rendeu um prémio de US$ 70 mil (cerca de R$ R$ 380 mil)pelo Google. Esse valor todo é considerável pela facilidade de executar o bug e o risco que oferece, permitindo burlar a tela de bloqueio do celular e ter acesso ao seu conteúdo.
Descrita como de “alta severidade”, a falha recebeu o nome de CVE-2022-20465. Para explorar a falha, a pesso precisa estar com o celular a ser invadido em mãos, e também é necessário um chip SIM próprio.
O invasor começa apenas travando a biometria (acontece normalmente depois de muitas tentativas erradas de ler a impressão digital). Depois, basta remover o cartão SIM do celular a ser invadido e colocar um chip próprio. Feita a troca, o malfeitor erra de propósito o PIN até o celular pedir para ser inserido o código PUK do cartão, e não o PIN de segurança personalizado do dono do aparelho.
Caso não saiba, o código PUK é específico de cada chip SIM, e você facilmente tem acesso a ele na embalagem do chip ou ligando para a operadora. Após inserir este código, o celular permite o cadastro de um novo PIN. Pronto, está invadido.
Corrigido o problema
David Schütz, foi quem descobriu a falha, e firma tê-la encontrado por acidente, de certo modo. Uma situação parecida aconteceu com ele enquanto viajava, com o próprio celular.
Esse tipo de falha só é divulgado após corrigida, como de costume. O Google corrigiu o problema em um patch na atualização de 5 de novembro, para os sistemas Android 10 em diante então certifique-se de que seu aparelho esteja atualizado.
