Un semplice gesto sullo schermo, niente PIN e nessuna impronta digitale, eppure il telefono manda messaggi come se fosse tutto normale. È questo il cuore del bug di Gemini scoperto di recente su Android 16, una falla che permette a chiunque di aggirare la schermata di blocco e inviare SMS o messaggi WhatsApp senza mai autenticarsi. Che si tratti di iPhone 17, di un Galaxy S26 o di un Pixel 10, la maggior parte delle persone si affida alla schermata di blocco per tenere il proprio dispositivo al sicuro da mani estranee. E qui casca l’asino, almeno per chi tiene attivo l’assistente vocale direttamente dal lock screen.
Il problema riguarda i dispositivi con Android 16 che hanno l’accesso a Gemini abilitato dalla schermata di blocco. La cosa curiosa è che non si tratta di una novità dell’ultimo minuto, visto che la falla era già stata segnalata più volte nel corso di quasi due mesi. Google ha confermato che la correzione è in arrivo e che verrà distribuita completamente in questa settimana. L’azienda ha precisato che non è un problema legato solo ai Pixel, anche se non ha voluto indicare con esattezza i modelli e le versioni coinvolte.
Come funziona la falla nella pratica
L’exploit funziona solo in condizioni molto specifiche, ma una volta capito il meccanismo è banale da riprodurre. Serve prima aver revocato a Gemini l’accesso ad alcune app, per esempio quella dei Messaggi. A quel punto, chiedendo all’assistente di inviare un SMS dalla schermata di blocco, compare la richiesta di aprire l’app necessaria. Toccando “Continua” il telefono chiede di autenticarsi o di inserire il PIN. Fin qui tutto regolare.
Il trucco sta nel premere “Continua” e il pulsante “Aggiungi allegato” di Gemini nello stesso momento. Fatto questo, il dispositivo spedisce il messaggio senza mai chiedere il PIN. E la faccenda peggiora, perché altre app possono essere riconnesse a Gemini semplicemente digitando nel suo campo di testo, sempre senza autenticazione. Basta scrivere “@WhatsApp” nella finestra dell’assistente per dargli accesso all’app di messaggistica di Meta scavalcando ogni controllo.
Quanto è rischioso e come difendersi
Va detto che, per quanto la cosa sia seria, richiede comunque l’accesso fisico al telefono. Questo riduce parecchio le probabilità che diventi un problema di massa. Il vero pericolo scatta se il dispositivo viene rubato, perché a quel punto un ladro potrebbe usare il numero della vittima per truffare altre persone, e lì il guaio si fa concreto.
Per ora la difesa migliore è disattivare del tutto l’accesso di Gemini dalla schermata di blocco, almeno finché non arriva l’aggiornamento software promesso da Google. Sul fronte degli scettici, su Reddit qualcuno si è chiesto chi mai tenga l’assistente attivo sul telefono, ma per diversi utenti resta uno strumento utile nella quotidianità. Un commento ha raccontato di usarlo ogni giorno per impostare timer e controllare i dispositivi di casa.
Il nodo, al di là delle opinioni sull’intelligenza artificiale, è che l’implementazione appare frettolosa oltre ogni limite accettabile. Una funzione di test rotta ogni tanto ci può stare, ma aprire una porta sul retro della schermata di blocco pur di rendere più comodo usare Gemini tocca un confine troppo importante per essere ignorato.