To prawda, że Chrome to najbezpieczniejsza przeglądarka na świecie. Jednak potknięcia zdarzają się najlepszym. Tak też było z mobilną przeglądarką od Google’a, która do wersji 58 nie używała flagi FLAG_SECURE dla ustawień auto-uzupełniania kart płatniczych, co potencjalnie narażało wprowadzone przez użytkownika dane na przechwycenie poprzez wykonanie zrzutów ekranu przez inną aplikację. Inaczej mówiąc atakujący, jeśli uzyskałby zdalny dostęp do urządzenia np. poprzez szkodliwe oprogramowanie, mógł za pomocą złośliwej aplikacji przechwycić te dane.
FLAG_SECURE jest specjalną flagą systemu Android używaną w programowaniu uniemożliwiającą wyświetlanie ekranu z aplikacji otwartej w tle, w innej aplikacji. Badacze z Nightwatch Cybersecurity podczas testów zauważyli, że Chrome nie korzysta z tego zabezpieczenia, co dawało innym aplikacjom sposobność przechwycenia poufnych informacji.
Chociaż wykorzystanie błędu w praktyce może być dla atakującego nie lada wyzwaniem, to jednak zalecamy aktualizację Google Chrome, nawet jeśli waszą główną przeglądarką jest Opera lub Firefox. Nie możemy wykluczyć sytuacji, kiedy autorzy złośliwego oprogramowania wykorzystają podatność w nowym lub już w zainstalowanym szkodliwym oprogramowaniu (poprzez aktualizację szkodliwych modułów).
Badacze dodają, że aplikacje Android Pay i Portfel Google używają flagi FLAG_SECURE – dodana metoda płatnicza w tych programach jest odporna na przechwycenie opisywanym sposobem.
