Jakarta: Google meluncurkan perbaikan kerentanan di Android 16 yang memungkinkan asisten AI Gemini mengirim pesan SMS atau WhatsApp dari layar kunci tanpa memerlukan verifikasi PIN.
Kerentanan ini memerlukan akses fisik ke perangkat, namun tetap dianggap berisiko karena dapat dieksploitasi untuk menyamar sebagai pemilik ponsel cerdas untuk mengirim pesan ke kontak yang disimpan.
Laporan kerentanan ini pertama kali muncul setelah sejumlah pengguna melaporkannya ke media keamanan siber Catatan. Google kemudian mengkonfirmasi bahwa mereka mengetahui masalah ini, dan mengatakan bahwa pembaruan keamanan sedang dipersiapkan untuk didistribusikan minggu ini.
Kerentanan terjadi pada perangkat Android 16 yang mengaktifkan fitur Gemini di layar kunci. Fitur ini dirancang agar pengguna dapat meminta Gemini melakukan panggilan telepon atau mengirim pesan tanpa harus membuka kunci perangkat, selama pengaturannya diaktifkan sebelumnya.
Namun, peneliti menemukan kelemahan otentikasi ketika Gemini meminta pengguna memasukkan PIN untuk mengakses aplikasi perpesanan. Dalam keadaan normal, ketika akses Gemini ke aplikasi Pesan dicabut, pengguna yang ingin mengirim SMS melalui Gemini dari layar kunci akan diminta untuk membuka aplikasi dan mengautentikasi dengan PIN.
Masalah muncul ketika tombol Lanjutkan ditekan bersamaan dengan tombol Tambah Lampiran ditekan melalui kombinasi sentuhan tertentu atau gerakan multi-sentuh. Kombinasi ini memungkinkan proses autentikasi dilewati sehingga Gemini tetap bisa mengirim SMS tanpa pengguna memasukkan PIN sama sekali.
Setelah otentikasi berhasil dilewati, penyerang juga dapat menyambungkan kembali aplikasi lain ke Gemini yang sebelumnya terputus. Misalnya, hanya dengan mengetik perintah @WhatsApp, Gemini bisa mendapatkan kembali izin mengirim pesan melalui WhatsApp tanpa memerlukan verifikasi tambahan.
Perubahan ini bersifat permanen. Ketika pemilik perangkat kemudian membuka kunci ponselnya dan memeriksa pengaturan Gemini, aplikasi seperti WhatsApp akan tampak terhubung kembali meskipun tidak ada proses otentikasi yang valid sama sekali.
Meski terdengar mengkhawatirkan, namun eksploitasi kerentanan ini tidak bisa dilakukan dari jarak jauh. Penyerang harus langsung mengambil perangkat tersebut untuk melakukan kombinasi sentuhan yang memicu bug.
Namun peneliti memperkirakan ancaman tersebut masih nyata mengingat kasus pencurian ponsel pintar dan perangkat yang dibiarkan begitu saja masih sering terjadi. Dalam skenario ini, pelaku dapat mengirimkan pesan kepada keluarga, teman, atau rekan kerja korban untuk melakukan penipuan sosial atau penipuan rekayasa sosial.
Penipuan ini termasuk meminta transfer uang atau mempublikasikan informasi palsu atas nama pemilik perangkat. Google juga mengonfirmasi bahwa masalah ini tidak terbatas pada perangkat Pixel saja. Sejauh ini, perusahaan belum membeberkan daftar lengkap produsen dan model ponsel pintar yang terkena dampak.
Oleh karena itu, pengguna Android 16 dari berbagai merek diimbau untuk tetap waspada hingga pembaruan keamanan tersedia di perangkat masing-masing. Kasus ini bukan pertama kalinya Gemini dikaitkan dengan kelemahan keamanan layar kunci Android.
Sejak tahun 2025, sejumlah peneliti keamanan telah menemukan beberapa cara berbeda untuk melewati batasan layar kunci melalui integrasi Gemini. Meskipun sebagian besar telah diperbaiki, munculnya kerentanan baru menunjukkan bahwa semakin luasnya kemampuan AI juga meningkatkan permukaan serangan jika tidak diimbangi dengan mekanisme otentikasi yang ketat.
Sambil menunggu pembaruan keamanan tersedia, Google menyarankan pengguna meninjau pengaturan Gemini mereka di layar kunci. Pengguna dapat menonaktifkan opsi menggunakan Gemini tanpa membuka kunci atau setidaknya mematikan fitur melakukan panggilan dan mengirim pesan tanpa membuka kunci sehingga Gemini tidak dapat melakukan panggilan saat perangkat masih terkunci.
Untuk pengguna perusahaan dan organisasi yang mengelola perangkat Android melalui Mobile Device Management (MDM), disarankan juga untuk membatasi akses ke Gemini dari layar kunci sebagai tindakan mitigasi sementara hingga patch keamanan diterapkan sepenuhnya.
Kejadian ini menjadi pengingat bahwa fitur berbasis AI yang dirancang untuk meningkatkan kenyamanan pengguna juga harus diimbangi dengan lapisan keamanan yang memadai. Kemampuan menjalankan fungsi-fungsi penting tanpa membuka kunci perangkat mempercepat akses, namun di sisi lain dapat membuka peluang eksploitasi jika terdapat kerentanan pada mekanisme autentikasi.
Jadikan Servisenta.biz.id sebagai sumber informasi pilihan Anda
(MMI)
