Ne-am obișnuit cu ideea că un atac pe telefon cere o greșeală din partea noastră: un clic pe un link suspect, o aplicație luată din surse neoficiale sau un atașament dubios. O vulnerabilitate descoperită recent pe Android scoate însă din joc tocmai acest pas.
Numită „SMS-ul morţii”, problema îi permite oricărui atacator care îți cunoaște numărul de telefon să îți blocheze serviciile de telefonie sau să facă dispozitivul inutilizabil. Pentru asta ajunge un simplu mesaj, pe care nici măcar nu îl vei vedea.
Față de atacurile clasice de tip phishing, „SMS-ul morţii” este o vulnerabilitate zero-click. Victima nu trebuie să facă absolut nimic: nu primește notificări, nu apare nimic în inbox-ul aplicației de mesagerie, iar totul se procesează în fundal.
Atacul profită de felul în care Android procesează mesajele speciale de tip WAP Push, trimise ca date SMS. O eroare de codare, care generează o excepție NegativeArraySizeException, face ca sistemul să se prăbușească imediat.
Efectele pot merge de la închiderea unui apel până la blocarea completă a telefonului. Rețelele mobile încearcă adesea să retrimită mesajele care nu au fost confirmate ca fiind primite cu succes. Un număr de doar 15-20 de astfel de mesaje trimise consecutiv pot băga telefonul într-o buclă continuă de crash-uri sau reporniri, ceea ce îl face imposibil de utilizat.
Mark Blaszczyk, cercetătorul care a descoperit breşa, a testat atacul pe telefoane precum Google Pixel și Samsung Galaxy. Rata de succes a fost de 100%.
Eroarea de codare există pe versiunile de la Android 12 până la Android 17 inclusiv.
Google a lansat recent o rezolvare a erorii în actualizarea de securitate din octombrie 2026, pentru Android 14, 15, 16 și 17. Actualizarea detectează mesajul invalid și îl elimină înainte să cauzeze daune.
Din păcate, rămân expuse telefoanele care încă rulează Android 12 sau Android 13 și nu mai primesc patch-uri oficiale de securitate de la Google.
Recomandarea de acum este ca toată lumea să își aducă smartphone-urile la patch-ul de securitate din octombrie 2026, acolo unde se poate, desigur. Unii producători nu au pus încă această actualizare la dispoziție, astfel că riscurile rămân ridicate.
