20 februari 2024 11:07

Android 15 voorkomt dat malware OTP’s steelt uit sms’jes

Android 15 voorkomt dat apps zomaar One Time Passwords (OTP's) kunnen ophalen uit de sms’jes die je ontvangt. Malware-apps kunnen die 2FA-codes nu nog wel gemakkelijk uitlezen.

Android-expert Mishaal Rahman meldt dat Google apps van derden de toegang wil ontzeggen tot gevoelige sms’jes. Het gaat dan om sms-berichten met zogeheten One Time Passwords (OTP’s), die bijvoorbeeld gebruikt worden om in te loggen bij je bank of andere diensten. Momenteel zijn deze berichten toegankelijk voor alle apps op je Android-telefoon. Rahman ontdekte dat Android 15 toewerkt naar een systeem dat “niet-vertrouwde apps” de toegang ontzegt tot het uitlezen van deze berichten.

Google lijkt de functie alvast te testen in een recente bètaversie van Android 14, versie QPR3 Beta 1. De testversie dient als opmars naar Android 15 en wordt enkel uitgerold naar Pixel-smartphones. In de testversie vond Rahman een verwijzing die boekdelen spreekt: “RECEIVE_SENSITIVE_NOTIFICATIONS”. Aanvullend wordt er gesproken over een “protectionLevel” en “role|signature”, wat erop wijst dat enkel goedgekeurde ontwikkelaars straks de notificaties kunnen uitlezen.

Apps van derden

Hoe ontwikkelaars die ‘goedkeuring’ kunnen verkrijgen, blijft onduidelijk. Of apps van Apple, Meta en andere grote ontwikkelaars straks zomaar je OTP-codes kunnen ophalen, is niet zeker. Rahman vermoedt dat Google zelfs alle apps van derden de toegang tot 2FA-codes wil ontzeggen. Dat betekent dat straks enkel systeemapps de gevoelige berichten nog kunnen lezen.

Ook is het nog onduidelijk hoe Google exact wil bepalen welk bericht onder de nieuwe regels valt. Vast staat dat Android nu al kan bepalen of een bericht een OTP-code bevat, maar dat geldt wel alleen voor berichten met een specifieke opmaak. Berichten zonder die opmaak vallen mogelijk niet onder de nieuwe regels.

Uitgelicht artikel

Android brengt widgets terug naar het vergrendelscherm

Onthulling tijdens I/O 2024

Momenteel test Google de functie nog in een bètaversie van Android 14. De functie is nu nog niet geactiveerd. Verwacht wordt dat daar met Android 15 verandering in komt. Die versie wordt tijdens I/O 2024 officieel aangekondigd. Vorige week vrijdag bracht de zoekgigant al wel de eerste bètaversie uit van de nieuwste OS-versie.