Er zit een ernstig beveiligingslek in alle Android-telefoons, waardoor aanvallers automatisch malware kunnen installeren als slachtoffers een linkje openen. Morgen zal voormalig McAfee-onderzoeker Dmitri Alperovitch de aanval demonstreren. De kwetsbaarheid die de onderzoeker misbruikt bevindt zich in de Webkit browser-engine. Deze software wordt zowel door Google Chrome als Safari gebruikt. Aangezien de veiligheid van mobiele telefoons ten opzichte van desktop computers beperkt is, is de aanval hier eenvoudiger uit te voeren.

De aanval bestaat uit een sms-bericht met een linkje. Zodra het slachtoffer het linkje opent, wordt een Trojaans paard geïnstalleerd waarmee Alperovitch telefoongesprekken kan afluisteren, maar ook allerlei gegevens kan stelen. "Er is geen beveiligingsmechanisme op de telefoon", aldus Alperovitch tegenover Cnet. "Er is geen app die je bij een beveiligingsaanbieder kan kopen die je hier tegen beschermt. Het fundamentele ontwerp van het besturingssysteem geeft geen enkele app beheerderstoegang tot het apparaat, dus ben je aan de genade van de aanbieder van het besturingssysteem overgeleverd."

Update
Het lek zit zowel in de Webkit-versies op het iPhone- als het Android-platform. De aanval van Alperovitch is echter alleen voor Android-toestellen uitgewerkt. "Ze demonstreren wederom dat mobiele apparaten net computers zijn, die op dezelfde manier zijn aan te vallen", zegt Mac-hacker Charlie Miller. "Een interessant verschil is dat mobiele apparaten niet over beveiligingssoftware beschikken die wel op desktop computers aanwezig is."

Om het beveiligingslek op te lossen, zou een firmware update vereist zijn. Het kan echter weken of maanden duren voordat de verschillende fabrikanten de updates voor hun toestel gereed hebben.