Falha no Android permite ao Gemini enviar SMS sem PIN

Uma falha de segurança no Android 16 está a permitir que o Gemini envie mensagens SMS a partir do ecrã de bloqueio sem pedir o PIN ao utilizador. O problema, conhecido pela Google desde maio deste ano, afeta dispositivos que tenham o assistente ativado no ecrã bloqueado — e a correção ainda não chegou.

O cenário é desconfortável: alguém pega no teu telemóvel bloqueado, invoca o Gemini e pede-lhe para enviar uma mensagem. O sistema pede o PIN, como seria de esperar. Mas com dois toques simultâneos — num botão de anexar ficheiro e noutro de continuar — o pedido de autenticação desaparece. A mensagem é enviada.

O truque que anula permissões que configuraste manualmente

A gravidade desta vulnerabilidade vai além de permitir o envio de um SMS. O mesmo método pode reactivar o acesso do Gemini ao WhatsApp, mesmo que tenhas desligado essa permissão nas definições. Estamos a falar de um contorno de permissões que desfaz escolhas de segurança que fizeste de propósito — e sem qualquer aviso ou notificação.

Isto significa que não é apenas uma brecha pontual para enviar uma mensagem rápida. É um mecanismo que permite reverter configurações de privacidade que o utilizador ajustou manualmente, e que o Android deveria proteger mesmo com o ecrã bloqueado.

Dez semanas entre o aviso e a solução pública

A Google foi informada desta falha em maio de 2026. Passaram cerca de dez semanas até a vulnerabilidade se tornar pública através do The Register, e a correção ainda não foi distribuída. No universo da segurança informática, este período não é escandaloso — bugs ao nível do sistema operativo exigem testes cuidadosos para não criar problemas laterais — mas também não é uma janela curta.

O facto de a falha ter sido tornada pública antes do patch estar disponível obriga os utilizadores a estarem cientes do risco agora, e não apenas depois de a actualização chegar. A Google confirmou que a correção está em desenvolvimento, mas ainda não especificou em que actualização de segurança mensal será incluída.

Quem está em risco e como te protegeres entretanto

Se tens o Gemini activo no ecrã de bloqueio e alguém tem acesso físico ao teu telemóvel — nem que seja por breves segundos — este é um vector de ataque real. Não é preciso conhecimento técnico avançado: qualquer pessoa que veja a demonstração em vídeo consegue replicar o exploit. Os gestos necessários demoram cerca de três segundos a executar.

A solução temporária mais directa passa por desactivar o acesso do Gemini ao ecrã de bloqueio. Podes fazê-lo em Definições > Aplicações > Gemini > Permissões, ou desligar completamente os atalhos de IA no ecrã bloqueado através de Definições > Ecrã > Ecrã de bloqueio. Nenhuma destas opções é ideal como solução permanente — afinal, estás a abdicar de funcionalidades que deveriam estar protegidas por design — mas ambas eliminam a superfície de ataque até a Google distribuir a correção oficial.

O problema não se limita aos Pixel. Embora a lista completa de versões do Android e de personalizações de fabricantes afectadas não tenha sido confirmada, sabe-se que a vulnerabilidade não é exclusiva dos dispositivos da Google. Se usas Android 16 com Gemini no lockscreen, assume que podes estar vulnerável e age em conformidade.

Até que a actualização de segurança chegue, a recomendação é clara: ou desactivas o assistente no ecrã bloqueado, ou não deixes o telemóvel ao alcance de terceiros — mesmo que confies neles. Três segundos chegam.

Via: Gizchina