Revelan nuevo ataque que puede leer la pantalla de su celular Android y robar códigos de seguridad en cuestión de segundos

Investigadores académicos de ciberseguridad han identificado una nueva clase de ataque que hace que los dispositivos Android sean vulnerables al robo de datos sensibles, incluidos los códigos de la autenticación de doble factor (2FA), que recupera en 30 segundos.

La nueva clase de ataque se ha clasificado como CVE-2025-48561 y recibe el nombre de Pixnapping o de secuestro de imágenes. Abre la puerta al robo de cualquier dato de aplicaciones o webs que se muestra en la pantalla de un teléfono Android, sin requerir permisos.

Para ejecutar el ataque se requiere una aplicación maliciosa que invoque la aplicación objetivo —por ejemplo, Google Authenticator— para que ésta muestre información confidencial en pantalla. A continuación la aplicación maliciosa aplica operaciones gráficas sobre los píxeles que contienen dicha información para identificar cuáles son relevantes y, mediante un canal lateral, extraerlos. En concreto, se aprovecha una métrica denominada “GPU.zip” (es decir, variaciones en el tiempo de renderizado de la GPU) para realizar la extracción.

Esto se traduce en que la aplicación maliciosa consigue hacer una especie de captura de pantalla de la información sensible y confidencial, a la que no debería tener acceso, como explican los académicos en la página dedicada a este ataque.

La investigación, que se ha desvelado ahora, se remonta a febrero, cuando los académicos comunicaron a Google el descubrimiento de Pixnapping. Aunque el gigante tecnológico lanzó un parche en julio, el ataque podía volver a habilitarse, con lo que se espera una corrección adicional en boletín de seguridad de Android de diciembre.

En principio, el ciberataque afecta a la mayoría de los dispositivos Android modernos. Los investigadores lo han demostrado en algunos modelos, de los cuales han recuperado datos procedentes de aplicaciones y servicios como Gmail, la Cuenta de Google, Signal, Google Authenticator, Venmo y Google Maps.

En el caso concreto del ataque que realizaron contra Google Authenticator, demostraron que cualquier aplicación maliciosa puede robar los códigos de 2FA en menos de 30 segundos, ocultando el ataque al usuario.

*Con información de Europa Press