O Google está corrigindo um sério problema de privacidade do Gmail na Android TV

Os dispositivos Android TV receberão uma atualização para resolver um problema de privacidade relacionado ao Gmail. Basicamente, aqueles com acesso físico à sua Android TV podem ter o controle da sua conta do Gmail. Isso cria mais riscos, como solicitar alterações de senha em outros serviços.

O Android TV não é um sistema operacional diferente do Android que conhecemos em telefones e tablets. Em vez disso, é o Android com um “lançador” que adapta a interface do usuário às telas de televisão para uma navegação mais confortável. No entanto, o núcleo ainda é o Android. Você pode encontrá-lo pré-instalado em certas TVs ou caixas/dispositivos de TV. Em relação a este último, dispositivos como o Chromecast com Google TV ou NVIDIA Shield TV estão entre os mais populares.

A Android TV não oferece todos os métodos de bloqueio do Android

O Android TV mantém comportamentos e possibilidades herdados da versão para celulares. Primeiro, permite instalar APKs fora da Play Store. Além disso, depois de fazer login com sua conta do Google, todos os aplicativos do Google terão acesso a esse login. Ou seja, depois de acessar sua Android TV com sua conta Google, basta instalar todos os apps ou serviços da empresa para ter acesso a todo o seu conteúdo. Você não precisará inserir novamente seu e-mail e senha para cada aplicativo.

Este comportamento é normal e conveniente para dispositivos móveis. Afinal, você sempre o tem com você e eles têm vários métodos de bloqueio disponíveis. Por outro lado, os dispositivos Android TV geralmente ficam no mesmo lugar. Além disso, não oferecem todos os sistemas de bloqueio disponíveis nos smartphones.

A coisa mais próxima que você encontrará no Android TV é a opção “perfil restrito”. Isso permite bloquear o acesso a determinados aplicativos específicos após um PIN. Mas, como o Google indica em seu Página de suportesó funciona em ““Aplicativos de terceiros que não usam login do Google”. Portanto, você não poderá bloquear o acesso a aplicativos do Google ou de terceiros que usem suas credenciais do Google.

É assim que os invasores podem acessar sua conta do Gmail na Android TV

Agora você deve ter uma ideia do problema de segurança. O potencial invasor deve ter acesso físico ao seu dispositivo Android TV. Se você fizer login com sua conta do Google nessa Android TV, o invasor terá acesso aos dados de todos os seus aplicativos do Google. Isso inclui o Gmail, que é bastante perigoso. Com acesso ao Gmail, o invasor pode solicitar alterações de senha de outros serviços. Somente aqueles onde você configurou um sistema 2FA estarão seguros.

A Android TV torna a instalação de APKs fora da Play Store um pouco mais complicada do que em telefones Android. No entanto, ainda não é um processo tão difícil. Basta desbloquear as opções do desenvolvedor e você poderá habilitá-lo a partir daí.

O invasor precisa instalar APKs externos, já que o Gmail não possui um aplicativo para Android TV. Como existem navegadores para Android TV, o invasor pode simplesmente baixar o APK do Gmail de algum site.

Após baixá-lo e instalá-lo, o invasor poderá acessar diretamente seus e-mails sem a necessidade de credenciais. Por não estar adaptado ao Android TV, o aplicativo Gmail precisará de teclado e mouse para navegar por ele. No entanto, esse será o único obstáculo que enfrentarão.

A solução já está sendo implementada

Numa declaração a 404 Mídiapara Porta-voz do Google ditadoA maioria dos dispositivos Google TV que executam as versões de software mais recentes não suportam mais o comportamento descrito. Estamos em processo de implementação de uma solução para os demais dispositivos.De sua parte, você pode verificar manualmente se o seu dispositivo está atualizado com o software mais recente disponível. Além disso, o bom senso é seu melhor aliado para evitar práticas inseguras, como fazer login com sua conta do Google em dispositivos Android TV de terceiros.

PSA: Não faça login em sua conta pessoal do Google em nenhum dispositivo Android TV que não seja de sua propriedade!

-Mishaal Rahman (@MishaalRahman) 25 de abril de 2024