Jakarta: Google tengah menggulirkan perbaikan untuk celah keamanan pada Android 16 yang memungkinkan asisten AI Gemini mengirim pesan SMS maupun WhatsApp dari layar kunci tanpa memerlukan verifikasi PIN.
Kerentanan tersebut membutuhkan akses fisik ke perangkat, tetapi tetap dinilai berisiko karena dapat dimanfaatkan untuk menyamar sebagai pemilik smartphone dalam mengirim pesan kepada kontak yang tersimpan.
Laporan mengenai celah ini pertama kali mencuat setelah sejumlah pengguna melaporkannya kepada media keamanan siber The Register. Google kemudian mengonfirmasi bahwa pihaknya telah mengetahui masalah tersebut dan menyatakan pembaruan keamanan telah disiapkan untuk didistribusikan dalam pekan ini.
Kerentanan terjadi pada perangkat Android 16 yang mengaktifkan fitur Gemini di layar kunci atau Gemini on lock screen. Fitur tersebut memang dirancang agar pengguna dapat meminta Gemini melakukan panggilan telepon atau mengirim pesan tanpa harus membuka kunci perangkat, selama pengaturan tersebut telah diaktifkan sebelumnya.
Namun, peneliti menemukan adanya celah autentikasi ketika Gemini meminta pengguna memasukkan PIN untuk mengakses aplikasi Messages. Dalam kondisi normal, ketika akses Gemini ke aplikasi Messages telah dicabut, pengguna yang ingin mengirim SMS melalui Gemini dari layar kunci akan diminta membuka aplikasi dan melakukan autentikasi menggunakan PIN.
Masalah muncul ketika tombol Continue ditekan bersamaan dengan tombol Add attachment melalui kombinasi sentuhan tertentu atau multi-touch gesture. Kombinasi tersebut memungkinkan proses autentikasi dilewati sehingga Gemini tetap dapat mengirim SMS tanpa pengguna memasukkan PIN sama sekali.
Setelah autentikasi berhasil dilewati, penyerang bahkan dapat menghubungkan kembali aplikasi lain ke Gemini yang sebelumnya telah diputus aksesnya. Sebagai contoh, cukup dengan mengetik perintah @WhatsApp, Gemini dapat memperoleh kembali izin untuk mengirim pesan melalui WhatsApp tanpa meminta verifikasi tambahan.
Perubahan tersebut bersifat permanen. Saat pemilik perangkat kemudian membuka kunci smartphone dan memeriksa pengaturan Gemini, aplikasi seperti WhatsApp akan terlihat telah terhubung kembali meski tidak pernah ada proses autentikasi yang sah.
Kendati terdengar mengkhawatirkan, eksploitasi celah ini tidak dapat dilakukan dari jarak jauh. Penyerang harus memegang perangkat secara langsung agar dapat menjalankan kombinasi sentuhan yang memicu bug tersebut.
Walaupun demikian, peneliti menilai ancamannya tetap nyata mengingat kasus pencurian smartphone maupun perangkat yang tertinggal tanpa pengawasan masih sering terjadi. Dalam skenario tersebut, pelaku dapat mengirim pesan kepada keluarga, teman, atau rekan kerja korban untuk melakukan penipuan sosial atau social engineering.
Penipuan tersebut termasuk meminta transfer uang atau menyebarkan informasi palsu atas nama pemilik perangkat. Google juga menegaskan bahwa masalah ini tidak terbatas pada perangkat Pixel. Hingga saat ini perusahaan belum mengungkap daftar lengkap produsen maupun model smartphone yang terdampak.
Dengan demikian, pengguna Android 16 dari berbagai merek disarankan tetap waspada sampai pembaruan keamanan tersedia di perangkat masing-masing. Kasus ini bukan pertama kalinya Gemini dikaitkan dengan celah keamanan pada layar kunci Android.
Sejak tahun 2025, sejumlah peneliti keamanan telah menemukan beberapa metode berbeda untuk melewati pembatasan layar kunci melalui integrasi Gemini. Meski sebagian besar telah diperbaiki, munculnya celah baru menunjukkan bahwa kemampuan AI yang kian luas juga memperbesar permukaan serangan atau attack surface jika tidak diimbangi mekanisme autentikasi ketat.
Sembari menunggu pembaruan keamanan tersedia, Google menyarankan pengguna meninjau kembali pengaturan Gemini di layar kunci. Pengguna dapat menonaktifkan opsi Use Gemini without unlocking atau setidaknya mematikan fitur Make calls and send messages without unlocking agar Gemini tidak dapat melakukan komunikasi ketika perangkat masih terkunci.
Bagi pengguna perusahaan maupun organisasi yang mengelola perangkat Android melalui sistem Mobile Device Management (MDM), pembatasan akses Gemini dari layar kunci juga direkomendasikan sebagai langkah mitigasi sementara hingga patch keamanan diterapkan secara menyeluruh.
Insiden ini menjadi pengingat bahwa fitur berbasis AI yang dirancang untuk meningkatkan kenyamanan pengguna juga harus diimbangi dengan lapisan keamanan memadai. Kemampuan menjalankan fungsi penting tanpa membuka kunci perangkat memang mempercepat akses, tetapi di sisi lain dapat membuka peluang eksploitasi apabila terdapat kelemahan pada mekanisme autentikasinya.
Jadikan Medcom.id sumber informasi pilihan Anda
FOLLOW US
Ikuti media sosial medcom.id dan dapatkan berbagai keuntungan
