У мільйонів користувачів Android з’явилася нова причина для занепокоєння — дослідники виявили критичну вразливість в операційній системі, яка дозволяє зловмисникам виконувати дії в мобільних застосунках без жодної участі користувача.
На перший погляд усе виглядає цілком безпечно — звичайне повідомлення з посиланням. Але замість очікуваної адреси відкривається інший сайт або запускається неочікувана дія в застосунку. Причина — маніпуляції з Unicode-символами, які система Android обробляє некоректно, пише TechRadar.
Ключовою проблемою є невидимі символи, зокрема так звані символи нульової ширини (zero-width characters). Їх можна вбудувати в URL так, що візуально посилання залишається незмінним, але насправді веде на зовсім інший ресурс. Наприклад, натискаючи на “amazon.com”, користувач фактично переходить на “zon.com”, адже система сприймає прихований символ як роздільник і змінює маршрут відкриття.
Особливу загрозу становлять deep links — спеціальні посилання, які безпосередньо активують функції мобільних застосунків. Зловмисники можуть змусити телефон автоматично запустити вікно дзвінка у WhatsApp, відкрити внутрішні модулі Instagram, Telegram, Slack або Discord без згоди власника пристрою.
Фахівці вже підтвердили працездатність атаки на різних моделях — зокрема, на Google Pixel 9 Pro XL, Samsung Galaxy S25 та деяких старіших смартфонах. При цьому звичайне антивірусне ПЗ не здатне виявити такі дії, адже йдеться не про типову шкідливу програму, а про використання системних функцій у непризначений спосіб.
Щоб уникнути потенційної небезпеки, експерти радять користуватися рішеннями безпеки, які можуть розпізнавати аномалії в поведінці системи. Також варто з обережністю ставитися до будь-яких отриманих посилань — навіть якщо вони виглядають знайомо.