Pixnapping-aanval maakt Android kwetsbaar voor diefstal van gevoelige data

Onderzoekers hebben een ernstige kwetsbaarheid ontdekt in Android die het mogelijk maakt voor kwaadaardige apps om gevoelige informatie van andere apps te achterhalen. De aanval, bekend als Pixnapping, kan onder meer cryptowallet-herstelzinnen en tweefactorauthenticatiecodes (2FA) onderscheppen, zonder dat gebruikers iets merken.

Hoe de Pixnapping-aanval werkt

De Pixnapping-aanval misbruikt bepaalde Android-API’s, de technische koppelpunten waarmee apps communiceren met het besturingssysteem. Kwaadaardige apps gebruiken deze om de kleur van afzonderlijke pixels op het scherm te analyseren. Door dat duizenden keren per seconde te doen, kan de malware stap voor stap reconstrueren wat er op het scherm wordt weergegeven.

Het is geen traditionele schermopname, want die wordt door Androids beveiliging geblokkeerd. In plaats daarvan stapelt de aanval halfdoorzichtige vensters bovenop de doelapp, waarbij slechts één pixel zichtbaar blijft. Door deze pixel te observeren en te manipuleren, kan de malware achterhalen wat eronder wordt getoond, zoals verificatiecodes of herstelinformatie.

Onderzoekers testen aanval op Google en Samsung

De onderzoekers testten Pixnapping op vijf Android-toestellen: de Google Pixel 6, 7, 8, 9 en de Samsung Galaxy S25. De aanval werkte op alle apparaten, al verschilde de effectiviteit per model.

Volgens het rapport wist de aanval de volledige 6-cijferige 2FA-code correct te reconstrueren in 73, 53, 29 en 53 procent van de tests op respectievelijk de Pixel 6, 7, 8 en 9. De gemiddelde tijd per herstelde code lag tussen de 14 en 26 seconden.

Hoewel het ontcijferen van een volledige cryptowallet-herstelzin veel langer zou duren, blijft het risico bestaan wanneer gebruikers hun herstelzinnen langere tijd in beeld laten staan.

Reactie van Google en Samsung

Google probeerde de kwetsbaarheid op te lossen door te beperken hoeveel overlappende schermactiviteiten een app tegelijk mag uitvoeren. De onderzoekers ontdekten echter dat Pixnapping nog steeds werkt ondanks deze maatregel.

Zij melden: “Op 13 oktober zijn we nog steeds in overleg met Google en Samsung over de tijdlijnen voor openbaarmaking en de maatregelen die moeten worden genomen.”

Google heeft het probleem als zeer ernstig aangemerkt en beloofde een beloning voor de ontdekking. Samsung werd eveneens gewaarschuwd, omdat de door Google uitgevoerde patch volgens de onderzoekers onvoldoende bescherming biedt voor Samsung-apparaten.

Advies aan Android-gebruikers

Gebruikers wordt aangeraden om geen gevoelige informatie, zoals cryptowallet-herstelzinnen of beveiligingscodes, op Android-apparaten weer te geven. Vooral bij het beheren van crypto-activa is het verstandiger om gebruik te maken van een hardware wallet.

Een hardware wallet is een fysiek apparaat dat transacties veilig ondertekent zonder dat privésleutels of herstelzinnen ooit via internet worden blootgesteld.

Beveiligingsonderzoeker Vladimir S waarschuwde als slot op X:
“Gebruik je telefoon gewoon niet om je crypto te beveiligen. Gebruik een hardware wallet.”

Claim vandaag nog €10 gratis en betaal geen handelskosten over de eerste €10.000!

Grijp deze unieke kans met Newsbit en Bitvavo door nu een account aan te maken via de knop hieronder. Stort slechts €10 en ontvang direct €10 gratis. Bovendien kun je 7 dagen lang zonder kosten handelen over je eerste €10.000 aan transacties. Start vandaag nog en profiteer direct van de groeiende populariteit van crypto!

Maak je account en Claim je €10 gratis.

Mis deze kans niet om direct te profiteren van de groeiende populariteit van Crypto!