Android : un défaut de l'écran verrouillé permettait à Gemini d'expédier des SMS sans code PIN, Google déploie un correctif

Depuis le mois de mai, une vulnérabilité a été identifiée sur certains mobiles fonctionnant sous Android 16. Elle concerne l'intelligence artificielle Gemini, intégrée à l'écran de verrouillage. Un individu malintentionné peut, en manipulant l'interface d'une certaine manière, expédier des SMS ou des messages via WhatsApp sans avoir à saisir le code PIN ou toute autre méthode de déverrouillage.

En temps normal, lorsque l'on tente d'envoyer un message depuis l'écran verrouillé par l'intermédiaire de Gemini, l'assistant réclame l'ouverture de l'application de messagerie. Une boîte de dialogue affiche alors un bouton « Continuer ». C'est à ce stade que le défaut intervient : en appuyant simultanément sur ce bouton et sur l'icône « Ajouter une pièce jointe » proposée par Gemini, le système valide l'action sans exiger la saisie du code secret. La protection est donc contournée, et quiconque tient le téléphone en main peut envoyer des messages à sa guise.

Le bogue a été signalé à plusieurs reprises par des utilisateurs depuis mai. Google a reconnu son existence et s'est engagé à le corriger. Un représentant de l'entreprise a confirmé le problème et annoncé le déploiement d'un correctif au cours de la semaine du 18 juillet 2026. La mise à jour concerne les appareils tournant sous Android 16 sur lesquels Gemini est actif depuis l'écran verrouillé.

Les experts en sécurité soulignent que même si l'accès de Gemini aux SMS est désactivé dans les paramètres, l'assistant reste capable d'exécuter des commandes vocales ou tactiles sans réclamer le code PIN. Il répond alors aux instructions de toute personne manipulant le mobile. Cette faille exposait les utilisateurs à des envois frauduleux de messages, potentiellement vers des numéros surtaxés ou pour usurper leur identité.

Google n'a pas précisé le nombre d'appareils concernés ni la date exacte de disponibilité du correctif, mais indique que la mise à jour est en cours de déploiement progressif. Les utilisateurs sont invités à installer les dernières mises à jour de sécurité dès leur réception.