Lỗ hổng bất ngờ: khi màn hình khóa Android không còn khóa được Gemini
Lỗ hổng bảo mật Android mới phát hiện là lỗi bypass màn hình khóa cho phép Gemini gửi tin nhắn SMS và WhatsApp trực tiếp từ màn hình khóa mà không cần xác thực bằng mã PIN, biến trợ lý AI thành cánh cửa mở vào thông tin cá nhân của người dùng bất kỳ khi thiết bị bị kẻ xấu cầm trên tay. Đây không còn là rủi ro lý thuyết; đó là một sai sót thiết kế bảo mật cho thấy chỉ một tuỳ chọn sai trên màn hình khóa cũng đủ làm suy yếu toàn bộ hệ thống bảo vệ tài khoản Android. Thay vì coi đây là một “bug nhỏ”, người dùng nên nhìn nó như lời nhắc rằng mọi tiện ích AI trên điện thoại đều phải bị đặt câu hỏi: chúng đang giúp ta tiện hơn, hay đang mở thêm một lỗ hổng bảo mật Android trước tội phạm công nghệ?
Cử chỉ đa cảm ứng bí mật: cách Gemini bị lợi dụng để gửi tin nhắn
Điểm nguy hiểm của lỗi này nằm ở cơ chế kích hoạt: một cử chỉ đa cảm ứng cụ thể trên màn hình khóa có thể khiến Gemini vượt qua yêu cầu xác thực PIN. Khi người dùng đã bật Gemini trên lockscreen và từng giới hạn quyền truy cập vào ứng dụng Messages, thao tác gửi SMS qua Gemini bình thường sẽ bị chặn, yêu cầu nhập PIN. Tuy nhiên, nếu kẻ cầm máy nhấn đồng thời nút “Tiếp tục” và nút “Thêm tệp đính kèm” của Gemini, hệ thống lại cho phép gửi SMS mà không hỏi mã PIN. Từ đó, hắn có thể dùng Gemini gửi tin nhắn như chủ máy, hoặc gõ “@WhatsApp” để kết nối WhatsApp với Gemini mà không qua bước xác thực. Đây là kiểu lỗi giao diện nhỏ nhưng hậu quả lớn, giống như việc vô tình để lại chìa khóa ngay bên trong ổ khóa cửa nhà.
Ai đang bị ảnh hưởng và mức độ rủi ro thực tế
Theo các báo cáo, lỗ hổng này xuất hiện trên thiết bị chạy Android 16 khi người dùng bật quyền truy cập Gemini từ màn hình khóa. Google khẳng định lỗi không chỉ xuất hiện trên dòng Pixel, nhưng chưa nêu rõ nhà sản xuất và model cụ thể nào đang dính lỗi. Về mặt kỹ thuật, kẻ tấn công phải có quyền truy cập vật lý vào điện thoại: máy bị mất, bị trộm hoặc bị để hớ hênh trên bàn làm việc là đủ. Một số người sẽ vội kết luận “có cầm được máy đã là thua rồi”, nhưng đó là suy nghĩ nguy hiểm. Trong bối cảnh tội phạm trộm điện thoại gia tăng, việc Gemini gửi tin nhắn mạo danh chủ máy mở ra khả năng lừa đảo kiểu “bắt cóc giả”, chuyển khoản khẩn cấp hoặc chiếm tài khoản qua mã OTP nhận bằng SMS. Nói cách khác, đây là lỗ hổng bảo vệ tài khoản Android chứ không chỉ lỗi màn hình khóa.
Google sửa lỗi, nhưng người dùng phải tự cứu mình trước
Tin tốt là Google đã thừa nhận đây là lỗi đã biết và cho biết bản sửa lỗi Google đã được triển khai nội bộ, chuẩn bị phát hành rộng rãi trong tuần. Điều này chứng tỏ hãng coi đây là sự cố đáng kể, không phải lỗi nhỏ có thể chờ đợt cập nhật sau. Tuy vậy, chuỗi bảo mật không chỉ mạnh bằng mắt xích Google, mà còn phụ thuộc vào thói quen cập nhật của người dùng. Cơ quan an ninh công nghệ của Đức nhấn mạnh rằng với các lỗ hổng đã được công bố, kẻ tấn công thường cố gắng khai thác trong những ngày đầu, nên khuyến nghị bật tự động cập nhật và cài đặt bản vá càng sớm càng tốt. Đây là lời nhắc rõ ràng: ai chậm cập nhật, người đó tự mở cửa nhà cho trộm còn biết giờ nào cửa yếu nhất.
Lời khuyên thực tế để bảo vệ tài khoản Android của bạn
Cho đến khi bản vá cho lỗ hổng bảo mật Android này đến tay mọi người dùng, bạn không nên ngồi chờ trong tâm thế bị động. Trước hết, hãy tạm tắt quyền dùng Gemini từ màn hình khóa và kiểm tra lại danh sách ứng dụng mà Gemini có thể truy cập, đặc biệt là SMS và WhatsApp. Khi có bản sửa lỗi Google, hãy cập nhật qua thông báo hệ thống, mục Cài đặt hoặc cửa hàng chính thức, tuyệt đối không làm theo các pop-up hay đường link lạ. Đồng thời, áp dụng những quy tắc cơ bản nhưng thường bị bỏ qua: dùng mật khẩu mạnh, khác biệt cho từng dịch vụ và bật xác thực hai yếu tố cho email, mạng xã hội, dịch vụ tài chính gắn với số điện thoại của bạn. Bảo vệ tài khoản Android không chỉ là trông chờ Google vá lỗi, mà là thiết kế cả một lớp phòng thủ quanh chiếc SIM và những tin nhắn đang nằm trong túi quần bạn.
