Investigadores exponen una falla crítica de Android que permite a las aplicaciones robar datos confidenciales

Qué sucedió: Los investigadores de seguridad han revivido una técnica de robo de datos basada en navegador de 12 años de antigüedad para atacar dispositivos Android , creando un nuevo y poderoso ataque llamado Pixnapping.

• El método permite que una aplicación maliciosa de Android robe datos que se muestran en otras aplicaciones o sitios web (incluida información confidencial de Google Maps , Gmail, Signal, Venmo e incluso códigos 2FA de Google Authenticator) sin necesidad de permisos especiales.
• Pixnapping funciona explotando un canal lateral de hardware (GPU.zip) para leer los datos de píxeles de la pantalla mediante mediciones del tiempo de renderizado. Al superponer actividades transparentes y cronometrar la velocidad de renderizado de los píxeles, los atacantes pueden reconstruir el contenido de la pantalla píxel a píxel. Aunque la técnica solo filtra entre 0,6 y 2,1 píxeles por segundo, es suficiente para recuperar datos confidenciales como códigos de autenticación.
• La vulnerabilidad, CVE-2025-48561, afecta a dispositivos con Android 13 a 16 (incluidos los Pixel 6 a 9 y el Galaxy S25). Se publicó un parche parcial en septiembre de 2025, y se espera una solución más completa en diciembre.

Por qué es importante: Pixnapping expone una falla fundamental en la arquitectura de GPU y renderizado de Android, lo que demuestra que incluso los ataques resueltos hace mucho tiempo pueden resurgir en nuevas formas.

• Debido a que no requiere permisos especiales, una aplicación aparentemente inofensiva descargada de Google Play Store podría espiar en secreto datos confidenciales en pantalla.
• El ataque también resalta un problema más amplio con las vulnerabilidades de los canales laterales: fugas causadas no por errores de software sino por cómo el hardware procesa los datos.
• Son notoriamente difíciles de detectar y solucionar, lo que plantea desafíos constantes para la seguridad móvil.

Por qué debería importarme: Si usa Android, esta investigación subraya el potencial de robo encubierto de datos sin ninguna acción o advertencia por parte del usuario.

• Las aplicaciones podrían recopilar de forma silenciosa información confidencial, como información bancaria, códigos 2FA o datos de ubicación, simplemente observando la actividad de tu pantalla.
• Aunque Google afirma que no hay evidencia de explotación, la mera existencia de este ataque demuestra que el malware podría eludir las defensas de seguridad tradicionales.

Próximos pasos: Google está implementando nuevas correcciones para limitar el abuso de la API de desenfoque y mejorar la detección. Sin embargo, los investigadores advierten que ya existen soluciones alternativas y que la vulnerabilidad subyacente de GPU.zip sigue sin resolverse. Hasta que se encuentre una solución definitiva, los usuarios deben limitar la instalación de aplicaciones no confiables y mantener sus dispositivos actualizados. Los expertos en seguridad también prevén la aparición de más ataques de canal lateral como Pixnapping a medida que los atacantes perfeccionen estas sofisticadas técnicas.