セキュリティ
特定のマルチタッチジェスチャーが認証プロンプトを回避してしまい、誰でもメッセージを送信できてしまいます
想像してみてください。誰かがあなたのAndroidスマートフォンを手に入れたとします。PINを知らないにもかかわらず、ロック画面からGeminiを使ってあなたになりすましてSMSやWhatsAppのメッセージを送信できてしまうのです。これは実在するバグであり、Googleは早ければ今週中にも修正を提供するとしています。
5月以降、The RegisterはAndroid 16搭載端末においてロック画面からのGeminiアクセスを有効にしているユーザーが端末認証を回避できるという報告を複数受け取っています。
これらは、2025年9月以降に広く出回っていた同様のGeminiベースのAndroidロック画面回避バグとは別のものです。
当編集部に報告されたバグの一つは、端末への物理アクセスさえあれば、認証されていないユーザーでも特定のマルチタッチジェスチャーを使ってロック画面上のGemini経由で電話・SMS・WhatsAppなどの機能を有効化できてしまうというものです。
端末の所有者がMessagesなど特定のアプリへのGeminiのアクセスを取り消している状態で、後から誰かがロック画面上のGemini経由でSMSを送信しようとすると、チャットボットは該当アプリを開くようユーザーに促します。「続行」を選択すると、メッセージにアクセスするために正しいPINの入力を求められます。
ところが、この「続行」ボタンとGeminiの「添付ファイルを追加」ボタンを同時に押すと、端末は認証されていないユーザーによるGemini経由でのSMS送信を、PINの入力なしに許可してしまいます。
そこから、ユーザーは該当するプロンプトを呼び出すことで、それまで設定画面でGeminiとの連携を切断していた他のアプリへのGeminiのアクセスも有効化できてしまいます。
例えば、WhatsAppへのGeminiアクセスを許可するには、Geminiのテキストウィンドウに「@WhatsApp」と入力するだけで済みます。PINは一切不要です。
正しいPINを入力した後、改めてユーザー設定に戻って確認すると、本来必要とされる認証手順を経ることなくWhatsAppがGeminiに接続済みになっていることが分かります。
この欠陥の悪用には端末への物理アクセスが必要です。通常、私たちはこの種の脆弱性を大々的に取り上げることは避けています。現実のシナリオでは実行が難しいケースが多いためです。
例えば、Windowsに管理者権限を奪えるバグがあったとしても、それが何らかの理由で攻撃者がWindows機に接続されたキーボードへの物理アクセスを必要とするようなものであれば、その機器の所有者は脆弱性そのものよりも大きな問題を抱えていることになります。
しかし、特に英国においてスマートフォン窃盗犯罪が深刻化している現状や、一例を挙げれば偽装誘拐詐欺の一環として説得力のあるSMSメッセージを送信できてしまう可能性を踏まえると、このバグは注目に値すると私たちは考えています。
Googleの広報担当者は、これは既知のバグであり、今週の全面展開が予定されていた修正をすでに実装済みだと当編集部に説明しました。
また、一部ユーザーがSamsung製端末では再現できないと主張していたことを受け、このバグはPixel固有のものではないとも述べましたが、どのメーカー・機種・バージョンが脆弱であるかについては具体的に明らかにしませんでした。®
