Niemieccy naukowcy pokazali, jak w prosty sposób uzyskać dostęp do kontaktów, kalendarza czy innych treści, które są przechowywane zdalnie. Opisywana luka dotyczy Androida w wersji 2.1, 2.2., 2.2.1, 2.3.3 i 3.0. Jedyną częściowo odporną na atak kompilacją okazał się Android 2.3.4, w którym kalendarz i kontakty są synchronizowane za pośrednictwem bezpiecznego protokołu HTTPS. Co właściwie powoduje, że większość wydań Androida posiada groźną lukę? Źródłem problemów jest sposób, w jaki telefon potwierdza tożsamość użytkownika podczas wymiany danych z serwerem Google. Wszystko odbywa się za pomocą tokena, który jest generowany na pewien okres czasu. Oczywiście podczas przesyłania tokena przez niezabezpieczoną sieć WiFi cyberprzestępca może go przejąć i zdobyć naszą wirtualną tożsamość. Atakujący uzyskuje wtedy dostęp do danych użytkownika i może przykładowo usunąć mu ważne treści lub skraść tajemnice służbowe.
Google po kilku dniach milczenia wydał oświadczenie, w którym poinformował, że zespół programistów i specjalistów od bezpieczeństwa już pracuje nad poprawkami, które wyeliminują zgłoszone luki. Zmiany w usługach kalendarza i kontaktów nie będą wymagały żadnych działań ze strony użytkowników. Zdaniem Google opisywane zagrożenie zostanie wyeliminowane w ciągu kilku najbliższych dni.
Do momentu usunięcia luki w mechanizmie autoryzacji użytkownika warto unikać łączenia Androida z Siecią poprzez niezabezpieczone punkty WiFi.
