Achávamos que os apps de autenticação em dois passos eram seguros; pesquisadores demonstraram como é fácil hackeá‑los

A verificação em dois passos por apps de autenticação é um dos métodos mais seguros para proteger nossas contas — ou assim pensávamos. O site Ars Technica relata que um grupo de pesquisadores de várias universidades americanas descobriu um novo tipo de ataque no Android capaz de copiar esses códigos em menos de 30 segundos, que é precisamente o tempo que eles levam para se atualizar. 

Pixnapping. Esse é o nome desse novo ataque capaz de roubar códigos de autenticação em dois passos de apps como Google Authenticator ou Microsoft Authenticator. Esses apps mostram códigos que se renovam automaticamente a cada 30 segundos, por isso são mais seguros do que, por exemplo, a verificação por SMS, que costuma dar uma margem de 10 ou 15 minutos para copiar o código. 

Com essa técnica, os pesquisadores conseguiram decifrar os seis dígitos do código em apenas 23 segundos, o que deixa tempo de sobra para usar o código e entrar na conta que querem roubar. Qualquer app no Android pode lançar um ataque pixnapping sem precisar de permissões especiais. Uma vez em funcionamento, o ataque ocorre em três etapas:

1. A aplicação maliciosa usa as APIs do Android para se comunicar com o aplicativo alvo. Essas chamadas forçam o aplicativo alvo a exibir dados específicos (os códigos de autenticação) e enviam essa informação ao canal de renderização do Android, que é o responsável por desenhar os pixels de cada aplicativo na tela.
2. O pixnapping realiza operações gráficas sobre os pixels recebidos pelo canal de renderização. Identifica as coordenadas de cada pixel de interesse e verifica se a cor é branca ou não branca.
3. Pixels brancos demoram menos tempo para serem renderizados do que pixels não brancos. Medindo esse tempo de renderização, o pixnapping consegue reconstruir as imagens a partir dos dados do canal de renderização.

A rapidez é fundamental

O pixnapping também pode capturar outros tipos de informações visíveis na tela, como números de conta ou dados pessoais, mas a velocidade com que é executado o torna especialmente perigoso para apps de autenticação. Para isso, os pesquisadores reduziram o número de amostras por pixel, conseguindo decifrar os seis dígitos em apenas 30 segundos.

Em Xataka Brasil

Seu robô aspirador é seguro? Ataque hacker transforma aparelho em um pesadelo (e como se proteger)

Como mencionado, o pixnapping afeta apenas o sistema Android, mas parece abranger várias versões. A pesquisa demonstrou que o ataque funciona em dispositivos com versões de Android 13 a Android 16. Até agora, foi reproduzido apenas em celulares Pixel e em um Samsung Galaxy S25, mas acredita-se que, devido ao mecanismo do ataque, qualquer Android possa ser vulnerável.

Como se proteger? Por enquanto, resta aguardar. O Google lançou recentemente um patch para mitigar o ataque, mas verificou-se que ainda existem maneiras de contorná-lo. Em declarações ao The Register, o Google confirmou que lançaria um segundo patch em dezembro para eliminá-lo. A boa notícia é que, até o momento, não há evidências de que aplicativos estejam explorando essa vulnerabilidade.

Imagem | Pixnapping

Este texto foi traduzido/adaptado do site Xataka Espanha.