谷歌证实Android存在欺诈漏洞：涉及所有版本

美国北卡罗来纳州州立大学研究员最近发现了一个存在于Android平台的“短信欺诈”(Smishing)漏洞，Android应用可以通过该漏洞对短信进行伪装，实施钓鱼式欺诈攻击。目前该漏洞已获谷歌证实。

NCSU的研究员表示，该漏洞很容易被攻破，可能被大量用来进行“钓鱼”攻击，获取用户信息。更可怕的是，该漏洞可以让欺诈应用在不需要获得用户任何许可的前提下发起攻击。换句话说，这一漏洞可定性为WRITE_SMS功能的泄漏。

另一个可怕的现实是，该漏洞可能存在于当前Android软件的所有版本中，因为该漏洞包含在Android Open Source Project(AOSP)项目中。NCSU的研究员目前发现包含该漏洞的智能手机有Galaxy Nexus、Nexus S、HTC One X、HTC Inspire、小米1代和三星Galaxy S3等。这些设备涉及的Android系统版本包括冻酸奶(Froyo 2.2.x)、姜饼(Gingerbread 2.3.x)、冰激淋三明治(Ice Cream Sandwich 4.0.x)和果冻豆(Jelly Bean 4.1)。

NCSU研究员称已于10月30日将这一漏洞通知了谷歌安全团队，并且和往常一样，他们在10分钟内就得到了答复。11月1日，谷歌Android安全团队向NCSU研究团队证实了该漏洞的存在，并表示已开始认真调查。

NCSU研究员透露，谷歌已表示将在未来的Android系统升级版本中修复这一漏洞。截至目前，谷歌方面还没有收到有用户因为该漏洞而受到攻击的报告。

NCSU研究员表示，出于责任考虑，在谷歌发布正式补丁之前，他们不会公开这个漏洞的具体信息。但研究员们建议，用户在下载和安装应用程序时要提高警惕，尤其是对那些来源不明的应用。

NCSU的研究员们还举例描述了用户该如何规避这一漏洞，譬如在接到短信息时，不要轻易点击短信息中的网站链接或拨打其中的电话号码，因为攻击者可能已经利用该应用将恶意短信进行伪装，让短信看起来像是用户联系人中的某位好友发来的信息。

NCSU的研究员们已将一段利用该安全漏洞发动攻击的展示视频上传到YouTube，目前尚不清楚谷歌何时能为当前Android版本的用户提供漏洞补丁。