Bug no ecrã bloqueado deixa Gemini enviar SMS sem PIN no Android

O cenário é digno de demo de segurança, não de produto acabado: alguém pega no teu telemóvel Android bloqueado, não sabe o PIN, mas consegue usar o Gemini no ecrã de bloqueio para enviar SMS e mensagens de WhatsApp em teu nome. É um bug real e a Google diz que a correção começa a chegar esta semana.

O problema afeta dispositivos com Android 16 que permitem acesso ao Gemini a partir do ecrã bloqueado. Desde maio, investigadores têm mostrado que é possível contornar o pedido de autenticação com um gesto específico multi-toque. A falha não é a mesma dos bypasses com Gemini que circulam desde setembro de 2025, é mais um capítulo numa história que já vai longa e que mostra como a integração agressiva de IA no sistema operativo abre portas inesperadas.

O ataque funciona assim: o dono do dispositivo revoga o acesso do Gemini a apps sensíveis, como Mensagens. Quem tiver o telemóvel na mão tenta então enviar um SMS via Gemini no ecrã bloqueado. O sistema faz o que seria suposto, pede para abrir a app Mensagens e mostra o botão “Continuar”, seguido do pedido de PIN. Só que, se alguém carregar em simultâneo em “Continuar” e no botão “Adicionar anexo” do Gemini, a autenticação é basicamente ignorada. O SMS é enviado sem PIN, e a partir daí é possível reativar permissões a outras apps diretamente pelo chatbot.

O exemplo mais preocupante é o WhatsApp. Basta escrever “@WhatsApp” na janela de texto do Gemini para ligar a integração, sem qualquer validação adicional. Mais tarde, já com PIN legítimo, o utilizador encontra nas Definições o WhatsApp marcado como conectado ao Gemini, sem nunca ter passado pelo passo de autenticação esperado. A Google reconheceu o bug, diz que a correção já foi implementada internamente e que o rollout global estava agendado para esta semana. A empresa também clarificou que não é um problema exclusivo dos Pixel, apesar de alguns utilizadores dizerem não o conseguir reproduzir em modelos da Samsung.

É verdade que a exploração exige acesso físico ao dispositivo, e em muitos casos isso reduz a gravidade prática. Mas num contexto de roubos de telemóveis em série, em Lisboa, Londres ou qualquer outra capital, ter a capacidade de enviar SMS convincentes a partir de um telefone acabado de roubar é tudo menos académico. Abre a porta a esquemas de phishing dirigidos, fraudes com MB Way, ou a cenários mais extremos como falsas mensagens ligadas a raptos, algo que já começou a surgir noutros países usando redes sociais e deepfakes.

Para quem usa Android em Portugal, o conselho é simples: até a atualização chegar, desativar o acesso do Gemini no ecrã de bloqueio é o passo prudente. E, mais fundo do que o bug em si, fica a questão de desenho: quando o assistente de IA passa a ser a chave-mestra que fala com SMS, WhatsApp, email e afins, cada falha de interface deixa de ser só um glitch e passa a ser um problema de identidade digital. A Google quer que o Gemini seja o centro do Android, mas com este ritmo de falhas na segurança do bloqueio, a discussão sobre quanto controlo o sistema dá realmente ao utilizador vai aquecer, sobretudo na Europa onde a empresa já está sob pressão para abrir o Android a assistentes rivais.

Fonte: The Register