NowSecure ha riferito della presenza di una vulnerabilità critica nel software di SwiftKey, una delle tastiere alternative disponibili per i telefoni Android. Se sfruttato il bug, un hacker può accedere al telefono, e controllarlo in remoto, installare malware, o addirittura rubare dati personali.

Secondo il rapporto, oltre 600 milioni di smartphone Samsung dotati di tastiera SwiftKey sono stati esposti al rischio. Si precisa che, per ora, solo la versione pre-installata di SwiftKey sui dispositivi Samsung sembra essere vulnerabile, ha detto NowSecure, e non l’app scaricata dal Google Play Store o da Apple iOS Store.

Ryan Welton, specialista di sicurezza mobile della NowSecure, ha scoperto che l’app SwiftKey pre-installata su alcuni dispositivi Samsung può essere ingannata per far scaricare dei presunti aggiornamenti dei Language Pack su connessioni non crittografate, quindi non sicure. In questo modo l’app, credendo di stare a scaricare pacchetti di lingua, in realtà potrebbe scaricare del codice dannoso grazie al quale un hacker potrebbe prendere il controllo dello smartphone.

Una volta che il codice fornisce l’accesso al dispositivo all’hacker, i dati del telefono, messaggi, e tutto ciò che è contenuto nel dispositivo viene esposto, il tutto senza che l’utente se ne accorga.

Samsung è stata informata nel novembre 2014 da NowSecure e l’azienda coreana riferito di aver distribuito una patch agli operatori di telefonia mobile in tutto il mondo al fine di risolvere il problema, i quali a loro volta devono rilasciare l’aggiornamento per i dispositivi dei loro clienti. Tuttavia, ci sono milioni di dispositivi Samsung con SwiftKey ancora vulnerabili.

Non c’è modo di disinstallare SwiftKey dalla gamma di dispositivi Samsung Galaxy da quando l’applicazione rientra tra le app native dei nuovi telefoni. Per ovviare al problema sarebbe consigliato utilizzare la tastiera di Google o qualsiasi altra tastiera di terze parti, almeno fino a quando la pacth per il proprio telefono non sarà rilasciata.

UPDATE 18.06.2015. Samsung (via Androidcentral) ha detto di avere una patch per la vulnerabilità nella tastiera SwiftKey, e il gigante coreano inizierà a distribuire un aggiornamento per la protezione nei prossimi giorni. La società utilizzerà la propria suite di sicurezza Knox per distirbuire la patch. Samsung sta anche lavorando a stretto contatto con SwiftKey per garantire che tali contrattempi non ci saranno in futuro.

Ecco una dichiarazione ufficiale da Samsung sulla questione:

"Samsung prende le emergenti minacce alla sicurezza molto sul serio. Siamo consapevoli del recente problema riportato da diversi media e siamo impegnati a fornire le ultime novità in sicurezza mobile. Samsung Knox è in grado di risolvere il bug di sicurezza dei telefoni, over-the-air, per invalidare eventuali vulnerabilità potenziali causate da questo problema. Gli aggiornamenti di sicurezza saranno in distribuzione entro in pochi giorni. Oltre all’aggiornamento, stiamo anche lavorando con SwiftKey per affrontare i rischi potenziali per il futuro. "

Ancora una volta, è importante notare che solo l’applicazione SwiftKey preinstallata sugli smartphone Samsung Galaxy S è vulnerabile, non quella che si può scaricare dal Google Play.

SwiftKey, come funziona il bug sui telefoni Samsung