Google voorziet Androidtelefoons van een feature die moet helpen bij het onderzoeken van spyware-aanvallen. Intrusion Logging, zoals de feature heet, is onder andere ontwikkeld in samenwerking met Amnesty International en Reporters Without Borders. Het is een mechanisme dat allerlei gebeurtenissen op de telefoon logt en vervolgens versleuteld opslaat in de cloud van Google. Voor de versleuteling wordt gebruikgemaakt van een user-generated key.

De gebruiker kan de logs later downloaden en ontsleutelen, om bijvoorbeeld met een onderzoeker te delen. Google en andere partijen kunnen de inhoud van de logs niet inzien, aldus Amnesty International. Standaard worden logs één keer per dag verzameld en opgeslagen. Slachtoffers van een spyware-aanval kunnen vervolgens deze logs met een forensisch onderzoeker delen. Volgens Amnesty International kan via Intrusion Logging worden vastgesteld of de telefoon was ontgrendeld toen die niet in handen van de eigenaar was.

Ook is zichtbaar of iemand bijvoorbeeld van Android Debug Bridge (ADB) gebruik heeft gemaakt of dat er monitoring-apps of spyware zijn geïnstalleerd. Daarnaast wordt bijgehouden of de telefoon met een externe infrastructuur contact heeft gemaakt wat op command & control activiteit kan duiden. Tevens kan via de logs worden gezien of bepaalde sporen van deze acties op een later moment door een aanvaller zijn verwijderd.

"Tot nu toe was forensisch onderzoek afhankelijk van logs die nooit ontwikkeld waren voor intrusion detection", zo stelt Amnesty International. "Intrusion Logging is speciaal ontworpen om security relevante gebeurtenissen op te slaan die met mogelijke inbraken verband houden, met het doel om consensueel forensisch onderzoek mogelijk te maken en zo de mogelijkheid te vergroten om geraffineerde aanvallen op Android te identificeren en onderzoeken."

Google meldt dat Intrusion Logging naar alle apparaten wordt uitgerold met de Android 16 December update. Amnesty International stelt dat de feature vooralsnog alleen beschikbaar is op Pixel-telefoons. Andere fabrikanten zullen de feature naar verwachting wel gaan ondersteunen. Daarnaast moet de telefoon gekoppeld zijn aan een Google-account en kunnen de logs gevoelige informatie bevatten, zoals bezochte websites.