¿Qué pasó: Los investigadores de seguridad han revivido una técnica de robo de datos basada en navegador de 12 años de antigüedad para apuntar a dispositivos Android, creando un nuevo y poderoso ataque llamado Pixnapping.
- El método permite que una aplicación maliciosa de Android robe datos que se muestran en otras aplicaciones o sitios web, incluida información confidencial de Google Maps, Gmail, Signal, Venmo e incluso códigos 2FA de Google Authenticator, sin requerir permisos especiales.
- Pixnapping funciona explotando un canal lateral de hardware (GPU.zip) para leer datos de píxeles de pantalla a través de mediciones de tiempo de renderizado. Al superponer actividades transparentes y cronometrar la rapidez con la que se representan los píxeles, los atacantes pueden reconstruir el contenido de la pantalla píxel por píxel. Aunque la técnica solo filtra de 0.6 a 2.1 píxeles por segundo, es suficiente para recuperar datos confidenciales como códigos de autenticación.
- La vulnerabilidad, CVE-2025-48561, afecta a dispositivos con Android 13 a 16 (incluidos Pixel 6-9 y Galaxy S25). Se emitió un parche parcial en septiembre de 2025, y se espera una solución más completa en diciembre.
¿Por qué es importante? Pixnapping expone una falla fundamental en el renderizado y la arquitectura de GPU de Android, lo que demuestra que incluso los ataques resueltos desde hace mucho tiempo pueden resurgir en nuevas formas.
- Debido a que no requiere permisos especiales, una aplicación aparentemente inofensiva descargada de Google Play Store podría espiar en secreto datos confidenciales en pantalla.
- El ataque también destaca un problema más amplio con las vulnerabilidades de canal lateral: fugas causadas no por errores de software sino por la forma en que el hardware procesa los datos.
- Estos son notoriamente difíciles de detectar y solucionar, lo que plantea desafíos continuos para la seguridad móvil.
¿Por qué debería importarme? Si usa Android, esta investigación subraya el potencial de robo de datos encubierto sin ninguna acción o advertencia del usuario.
- Las aplicaciones podrían recopilar silenciosamente detalles confidenciales como información bancaria, códigos 2FA o datos de ubicación simplemente observando la actividad de su pantalla.
- Aunque Google dice que no hay evidencia de explotación, la mera existencia de este ataque muestra que el malware podría eludir las defensas de seguridad tradicionales.
Lo que sigue: Google está implementando más correcciones para limitar el abuso de la API de desenfoque y mejorar la detección. Sin embargo, los investigadores advierten que ya existen soluciones alternativas y que la vulnerabilidad GPU.zip subyacente sigue sin resolverse. Hasta que se encuentre una solución permanente, los usuarios deben limitar la instalación de aplicaciones que no sean de confianza y mantener los dispositivos actualizados. Los expertos en seguridad también esperan que surjan más ataques de canal lateral como Pixnapping a medida que los atacantes refinen estas sofisticadas técnicas.
