Wydawało się, że uwierzytelnianie dwuskładnikowe (2FA) jest fortecą nie do zdobycia. Ostatnią linią obrony naszych kont, która chroni nas nawet wtedy, gdy hasło do banku po raz kolejny brzmi „piesek123”. Proces jest znany – logujesz się, podajesz hasło, a potem sięgasz po telefon, by przepisać jednorazowy kod. Skuteczne, dające poczucie bezpieczeństwa i kontroli. Okazuje się jednak, że wystarczy odpowiednia aplikacja, by ktoś zerkał na twój ekran razem z tobą i przechwycił jednorazowy kod, zanim zdążysz go wpisać. Oto Pixnapping – nowa i wyjątkowo pomysłowa metoda ataku, która udowadnia, że nawet najlepsze systemy zabezpieczeń mają swoje słabości. I tak… dotyczy także twojego telefonu!
Co to jest Pixnapping?
Nazwa Pixnapping może kojarzyć się z czymś zabawnym, jednak mechanizm jej działania jest poważnym zagrożeniem. Chodzi o nowatorską technikę ataku, która pozwala złośliwemu oprogramowaniu na Androidzie kraść informacje wyświetlane na ekranie przez zupełnie inne aplikacje. Atakujący może w ten sposób podejrzeć treść wiadomości z komunikatora Signal, dane z Map Google, a co najgorsze – jednorazowe kody 2FA z aplikacji jak Google Authenticator.
Unikalność tej metody polega na tym, że aplikacja przeprowadzająca atak nie potrzebuje absolutnie żadnych specjalnych uprawnień. Można ją zainstalować, odrzucić prośby o dostęp do kontaktów, aparatu czy lokalizacji, a ona i tak będzie w stanie wykonywać swoje zadanie. Badacze z kilku amerykańskich uniwersytetów odkryli bowiem sposób na nadużycie najważniejszych mechanizmów renderowania grafiki w systemie Android.
Tak działa atak bez uprawnień
Mechanizm ataku jest niezwykle sprytny i opiera się na sprzętowym kanale bocznym, który jest związany z układem graficznym telefonu (GPU). Złośliwa aplikacja, działając niezauważenie w tle, najpierw wymusza uruchomienie docelowej aplikacji, na przykład Google Authenticator. Następnie na jej interfejs nakłada serię półprzezroczystych warstw, po czym wykonuje na nich proste operacje graficzne, jak rozmycie okna. W ostatnim kroku, wykorzystując lukę nazwaną GPU.zip, mierzy czas potrzebny na wyrenderowanie każdego piksela pod warstwami.
Ponieważ czas renderowania różni się w zależności od koloru piksela, atakujący jest w stanie odtworzyć, co znajdowało się na ekranie. Cały proces jest precyzyjny i niestety skuteczny. Naukowcy udowodnili, że w ten sposób można odzyskać sześciocyfrowy kod 2FA z Google Authenticator w czasie od 14 do 25 sekund. Zważywszy, że kody odświeżają się co 30 sekund, pozostaje wystarczająco dużo czasu na ich przechwycenie i użycie. Skuteczność metody jest wysoka – na telefonie Google Pixel 6 pełny kod udało się odzyskać w 73% prób, a na nowszych modelach, jak Pixel 7 i 8, w ponad 53% przypadków. Wszystko dzieje się bez wiedzy użytkownika za sprawą aplikacji, która o nic nie prosiła.
Skala zagrożenia i podatne urządzenia
Badania potwierdziły podatność urządzeń z systemem Android w wersjach od 13 do 16, w tym urządzeń jak Google Pixel od 6 do 9 oraz Samsung Galaxy S25. Twórcy metody zaznaczają jednak, że mechanizmy wykorzystywane przez Pixnapping są obecne w niemal wszystkich smartfonach z Androidem, więc lista zagrożonych modeli jest prawdopodobnie znacznie dłuższa. Android kontroluje około 70% globalnego rynku mobilnych systemów operacyjnych. Oznacza to, że potencjalnie zagrożone są miliardy urządzeń na całym świecie.
Wymogiem przeprowadzenia ataku jest zainstalowanie przez ofiarę złośliwej aplikacji. Choć stanowi to pewną barierę, raporty firm zajmujących się cyberbezpieczeństwem, wskazują, że w 2023 roku co czwarte urządzenie mobilne miało kontakt ze złośliwym oprogramowaniem. Nakłonienie kogoś do instalacji niepozornego programu nie jest więc dla cyberprzestępców wielkim wyzwaniem. Na domiar złego, naukowcy odkryli przy okazji inną lukę. Z jej pomocą złośliwa aplikacja jest w stanie sprawdzić, jakie inne programy są zainstalowane na telefonie, co pozwala na dokładne sprofilowanie użytkownika. Google poinformowało, że nie zamierza tej konkretnej luki naprawiać, uznając jej załatanie za „niewykonalne”. Taka informacja z pewnością napawa optymizmem.
Jak się bronić i co robi Google
Przejdźmy do kluczowej kwestii – obrony. Niestety, dla deweloperów aplikacji pole manewru jest mocno ograniczone, ponieważ atak wykorzystuje fundamentalne działanie systemu. Jedyną skuteczną formą ochrony dla użytkownika jest regularne instalowanie łatek bezpieczeństwa dla systemu Android, gdy tylko się pojawią. Właśnie w nich producenci starają się eliminować tego typu luki.
Reakcja Google na zgłoszenie była szybka. Firma została poinformowana o problemie w lutym 2025 roku, a sam atak oznaczono jako CVE-2025-48561, nadając mu status „wysokiej powagi”. We wrześniu 2025 roku opublikowano pierwszą poprawkę. Niestety, badacze szybko odkryli sposób na jej obejście, o czym ponownie poinformowali firmę. Google zapowiedziało już wydanie kolejnej, miejmy nadzieję skuteczniejszej, poprawki w grudniowej aktualizacji bezpieczeństwa Androida. Do tego czasu pozostaje nam czujność.
Kto pilnuje strażników
Przez lata uczono nas, że dwuskładnikowe uwierzytelnianie to cyfrowa polisa na życie. Pixnapping pokazuje, że nawet najgrubszy pancerz ma szczeliny, a złośliwy kod nie musi wyważać drzwi, skoro może zajrzeć przez okno. Zabezpieczenia ewoluują, podobnie jak metody ich obchodzenia.
Pixnapping jest gorzkim przypomnieniem, że w dziedzinie bezpieczeństwa nie ma ostatecznych rozwiązań. Kiedy tworzymy wysoki mur, ktoś inny znajduje sposób, by się na niego wspiąć. Warto więc zachować zdrowy rozsądek, zwłaszcza instalując nową aplikację, która obiecuje cuda, a w zamian nie prosi o żadne uprawnienia. Czasem największe zagrożenie kryje się właśnie w tym, o co aplikacja nie pyta.
Źródło: Pixnapping Attack
