Un bug scoperto sui dispositivi dotati di Android 16 permette a chiunque abbia in mano un telefono, anche senza conoscerne il PIN, di inviare messaggi SMS o WhatsApp attraverso l’assistente Gemini direttamente dalla schermata di blocco. Google ha confermato il problema e ha già pronta una soluzione, la cui distribuzione completa era prevista per questa stessa settimana.
Secondo quanto raccolto dalla testata britannica The Register, che da maggio riceve segnalazioni in merito, il problema riguarda i telefoni su cui è attiva la possibilità di usare Gemini anche quando lo schermo è bloccato. Si tratta di una falla diversa rispetto ad altri bug simili legati a Gemini e al lock screen, già emersi e discussi a partire da settembre 2025.
Ad ogni modo, il meccanismo individuato richiede un gesto multi-touch molto specifico, rendendo quindi un po’ difficile attivare casualmente la funzione. Normalmente, infatti, se il proprietario del telefono ha revocato a Gemini l’accesso a determinate applicazioni, come Messaggi, e qualcuno prova comunque a inviare un SMS tramite l’assistente dalla schermata bloccata, il sistema chiede di aprire l’app corrispondente. A quel punto compare il pulsante Continua, che dovrebbe portare a una richiesta del PIN corretto per procedere.
È proprio qui che si annida la vulnerabilità. Premendo Continua nello stesso istante in cui si tocca il pulsante Aggiungi allegato di Gemini, il dispositivo consente l’invio dell’SMS senza che venga mai richiesto il codice di sblocco.
Segui TuttoAndroid su Google Discover
Un problema allargato anche ad altre app
Una volta ottenuto questo primo accesso non autorizzato, la falla diventa sempre più larga. Chi sfrutta il bug può infatti riattivare, sempre senza PIN, il collegamento tra Gemini e altre applicazioni che il proprietario aveva volutamente scollegato dalle impostazioni. Basta digitare il nome dell’app preceduto dalla chiocciola nella finestra di testo di Gemini, ad esempio @WhatsApp, perché il collegamento venga ripristinato.
La cosa più insidiosa è che la riattivazione può passare inosservata. Controllando in un secondo momento le impostazioni del telefono, dopo aver inserito correttamente il proprio PIN, si scopre che WhatsApp risulta connesso a Gemini pur non avendo mai completato la procedura di autenticazione prevista.
Tutto ciò premesso, ricordiamo come sfruttare questa falla richieda l’accesso fisico al dispositivo, una condizione che normalmente porta chi si occupa di sicurezza informatica a ridimensionare la gravità del problema. Se un sistema operativo per computer, per fare un paragone, avesse un bug che concede privilegi di amministratore a chiunque tocchi fisicamente la tastiera, il vero problema sarebbe probabilmente altrove.
Tuttavia, secondo chi ha analizzato il caso, la situazione attuale dei furti di smartphone può notevolmente peggiorare lo scenario. Un malintenzionato in possesso del telefono rubato di qualcuno potrebbe usare questa falla per inviare messaggi SMS convincenti a nome della vittima, magari nell’ambito di truffe che simulano un sequestro di persona. Uno scenario tutt’altro che teorico, che giustifica l’attenzione riservata al bug nonostante il requisito dell’accesso fisico.
La risposta di Google
Ciò rammentato, un portavoce di Google ha confermato che si tratta di un problema noto e che l’azienda ha già sviluppato una correzione, il cui rilascio su larga scala era programmato per questa settimana.
La stessa fonte ha inoltre precisato che il bug non riguarda soltanto i dispositivi Pixel, replicando così ad alcune segnalazioni secondo cui il problema non si sarebbe potuto riprodurre sugli smartphone Samsung. Google, però, non ha voluto specificare quali produttori, modelli o versioni del sistema operativo siano effettivamente interessati dalla vulnerabilità.