Vestavěná klávesnice od Samsungu používá predikci textu a jazykové balíčky ze SwiftKey Development Kit. A právě zde je zakopaný pes. Pokud si totiž chce klávesnice stáhnout nový jazyk nebo upgrade stávajícího balíčku, neučiní tak skrze šifrované spojení, ale pomocí prostého textu. To dává potenciálnímu útočníkovi možnost podvrhnout instalační balíček a na cílovém zařízení spustit škodlivý kód. Teoreticky tak může získat přístup k telefonu i jeho datům. Poprvé to zveřejnil Ryan Welton ze společnosti NowSecure.
Na to reagovali zástupci SwiftKey s tvrzením, že se jedná o zanedbatelné riziko. Aby se takový scénář naplnil, musel by být telefon připojen ke kompromitované síti (například Wi-Fi spuštěné nebo napadené útočníkem) a právě přes ni si začít stahovat update jazykového balíčku. Nástroje a znalosti potřebné pro takovýto útok jsou také velmi málo rozšířené. Chyba se rovněž netýká klávesnic instalovaných skrze Google Play a Apple App Store.
Zdroje: fonearena.com
