Bug Gemini su Android 16: SMS senza PIN e rischio WhatsApp
Un bug segnalato su alcuni dispositivi Android 16 con Gemini attivo nella schermata di blocco puΓ² permettere, con una sequenza precisa di tocchi, di inviare SMS senza il PIN e di riattivare senza autenticazione il collegamento con app come WhatsApp. Serve l'accesso fisico al telefono, non un attacco a distanza. Google ha confermato di essere a conoscenza del bug e ha dichiarato di avere giΓ implementato una correzione, pianificandone la distribuzione completa. In questa guida spiego come funziona, quali impostazioni controllare subito e perchΓ© anche le funzioni disponibili a schermo bloccato vanno controllate periodicamente.
In breve
Secondo quanto riportato da The Register, il problema risultava segnalato almeno da maggio 2026 dal ricercatore di sicurezza Hakan HasΔ±rcΔ±oΔlu. Premendo insieme i pulsanti "Aggiungi allegato" e "Continua" mentre si interagisce con Gemini dalla schermata di blocco, il sistema salta la richiesta del PIN. La stessa tecnica puΓ² anche riattivare, senza autenticazione, il collegamento tra Gemini e app come WhatsApp che l'utente aveva volutamente disattivato. Google ha precisato che il problema non riguarda solo i Pixel, ma non ha reso pubblico l'elenco completo dei modelli coinvolti.
- Fonte giornalistica principale: The Register, che ha raccolto le segnalazioni sul bug e la conferma diretta di un portavoce Google.
- Fonte secondaria consultata per la ricostruzione del meccanismo: TuttoAndroid, che riprende sostanzialmente la ricostruzione di The Register.
- Fonte ufficiale per le impostazioni: documentazione Google Gemini sulla schermata di blocco.
- Il meccanismo tecnico (pressione simultanea di "Continua" e "Aggiungi allegato") Γ¨ stato descritto da The Register e ripreso da TuttoAndroid.
- Non Γ¨ stato possibile confermare l'elenco completo dei modelli e delle versioni Android coinvolte: Google, interpellata, non lo ha reso pubblico.
- Questa guida si basa sulle fonti giornalistiche e sulla documentazione ufficiale disponibili, non su un test diretto pubblicato da ScelgoIo.
- Ultima verifica dell'articolo: 21 luglio 2026.
Un PIN, un'impronta digitale o il volto: sono gli strumenti con cui pensiamo di tenere al sicuro il telefono quando Γ¨ bloccato. Ma cosa succede quando Γ¨ l'assistente AI integrato nel sistema operativo a poter aggirare quella barriera, a causa di una funzione mal gestita prima dello sblocco? Γ il caso emerso in questi giorni su alcuni dispositivi Android 16, dove un bug di Gemini permette, con un gesto preciso, di inviare messaggi senza sbloccare nulla. Non Γ¨ un attacco alla portata di chiunque da remoto, ma Γ¨ un problema che vale la pena capire bene, soprattutto adesso che gli assistenti AI hanno accesso diretto a messaggi, contatti e applicazioni.
- Il problema in parole semplici
- Cosa potrebbe fare una persona con il telefono in mano
- Quali dispositivi sono coinvolti
- Come Google gestisce di solito queste segnalazioni
- Come proteggersi subito
- Come verificare tu stesso la tua configurazione
- Il PIN protegge il telefono, ma non corregge le eccezioni mal gestite
- Domande frequenti
Il problema in parole semplici
Non si tratta di un malware, né di un attacco che qualcuno può eseguire da lontano senza toccare il telefono. Serve l'accesso fisico al dispositivo: qualcuno deve avere lo smartphone in mano, bloccato, e sapere esattamente quale gesto compiere. Il meccanismo, secondo quanto ricostruito da The Register, funziona così: quando il proprietario ha revocato a Gemini l'accesso a un'app come Messaggi, e qualcuno prova comunque a inviare un SMS tramite l'assistente dalla schermata bloccata, il sistema chiede normalmente di aprire l'app e inserire il PIN corretto. Premendo però allo stesso istante i pulsanti "Continua" e "Aggiungi allegato" all'interno di Gemini, quella richiesta di autenticazione viene saltata.
Il problema risultava segnalato almeno da maggio 2026, secondo quanto raccolto da The Register, dal ricercatore di sicurezza Hakan HasΔ±rcΔ±oΔlu. Google ha confermato di essere a conoscenza del bug e ha dichiarato di avere giΓ implementato una correzione, pianificandone la distribuzione completa nella settimana del 13 luglio 2026. Non Γ¨ pubblico un metodo univoco per verificare su quali dispositivi il fix sia giΓ attivo, nΓ© attraverso quale componente venga distribuito.
Cosa potrebbe fare una persona con il telefono in mano
Chi sfrutta questo bug, avendo il telefono fisicamente disponibile e bloccato, potrebbe:
- inviare un SMS a nome del proprietario del telefono;
- inviare un messaggio WhatsApp, se l'app risulta o viene ricollegata a Gemini;
- far apparire quel messaggio come se fosse stato scritto dal legittimo proprietario;
- contattare numeri giΓ salvati in rubrica, incluse persone di fiducia;
- riattivare, senza che venga mai richiesto il PIN, il collegamento tra Gemini e un'app che era stata volutamente scollegata, semplicemente digitando il nome dell'app preceduto dalla chiocciola nel campo di testo di Gemini, ad esempio scrivendo il nome di WhatsApp.
Γ importante essere precisi: le fonti disponibili descrivono l'invio non autorizzato di messaggi e la riattivazione di collegamenti tra app, non una presa di controllo completa del telefono. Chi analizza il caso segnala comunque un rischio concreto legato ai furti di smartphone: un telefono rubato e ancora bloccato potrebbe essere usato per inviare messaggi credibili a nome della vittima, anche nell'ambito di tentativi di truffa.
Per capire perchΓ© questo scenario preoccupa chi si occupa di sicurezza, basta pensare a come funzionano giΓ oggi molte truffe legate ai furti di smartphone: chi sottrae un telefono cerca spesso di guadagnare tempo prima che il proprietario possa bloccarlo da remoto o avvisare la banca. Un messaggio inviato dal numero reale della vittima, magari a un familiare, con una richiesta urgente di denaro o di codici di accesso, risulta molto piΓΉ credibile di un messaggio inviato da un numero sconosciuto. Non abbiamo notizia di casi concreti giΓ verificati in cui questo specifico bug sia stato sfruttato per una truffa di questo tipo, ma Γ¨ lo scenario che i ricercatori indicano come plausibile, proprio per la combinazione tra furto fisico del dispositivo e possibilitΓ di inviare messaggi senza autenticazione.
Quali dispositivi sono coinvolti
Le segnalazioni raccolte finora riguardano dispositivi Android 16 con Gemini disponibile nella schermata di blocco. Un portavoce Google ha precisato che il problema non è limitato ai soli Pixel, replicando così ad alcune segnalazioni secondo cui il bug non si sarebbe potuto riprodurre su smartphone Samsung. L'azienda, però, non ha reso pubblico un elenco preciso dei modelli, delle versioni di Android o delle interfacce dei produttori effettivamente coinvolte.
Non Γ¨ quindi corretto affermare che ogni smartphone Android sia automaticamente vulnerabile: il comportamento dipende dalla versione del sistema, dall'app Gemini installata, dalle impostazioni personali e dallo stato dell'aggiornamento di sicurezza ricevuto dal dispositivo. Va anche segnalato che si tratta di una falla diversa rispetto ad altri problemi simili legati a Gemini e alla schermata di blocco, giΓ emersi e discussi a partire da settembre 2025.
Questo aspetto merita un chiarimento, perchΓ© non Γ¨ la prima volta che un problema di questo tipo emerge. Secondo ricostruzioni giornalistiche secondarie, problemi della stessa famiglia, legati al collegamento tra Gemini e la schermata di blocco, sarebbero giΓ emersi nel 2025 e nella primavera del 2026. Questi episodi non vanno perΓ² confusi con il bug descritto in questo articolo, che The Register presenta come un caso distinto.
CiΓ² che sembra ricorrere, al di lΓ dei singoli episodi, Γ¨ la causa di fondo: quando un assistente riceve un accesso privilegiato alla schermata di blocco per restare utile anche a telefono chiuso, ogni funzione raggiungibile da quell'accesso, dagli allegati alle chiamate, diventa un punto potenzialmente sfruttabile se la logica di autenticazione non copre davvero ogni combinazione di azioni possibili.
Come Google gestisce di solito queste segnalazioni
In generale, il percorso che porta dalla segnalazione di un ricercatore alla correzione pubblica segue un modello noto come disclosure responsabile: chi trova un problema lo comunica privatamente all'azienda, che lo verifica e lavora a una correzione, rendendo pubblici i dettagli tecnici solo in un secondo momento, quando la patch Γ¨ pronta o giΓ distribuita. Serve a evitare che i dettagli di un bug sfruttabile circolino prima che esista una difesa.
Nel caso di questo specifico bug, le fonti indicano che le prime segnalazioni sono arrivate alla stampa almeno da maggio 2026, e che Google ha confermato di essere giΓ al lavoro su una correzione prima che la notizia diventasse pubblica a metΓ luglio. Non abbiamo conferma indipendente di ogni singolo passaggio interno all'azienda, nΓ© sappiamo se questa specifica segnalazione sia stata o sarΓ ricompensata attraverso il programma di ricompense per la sicurezza di Google.
Come proteggersi subito
In attesa che la correzione di Google raggiunga tutti i dispositivi, la protezione piΓΉ efficace Γ¨ impedire a Gemini di rispondere quando il telefono Γ¨ bloccato. Gemini fa parte dell'app Google integrata nel sistema, quindi su molti dispositivi non Γ¨ disinstallabile del tutto: conviene agire sulle impostazioni, non cercare di rimuovere l'app. Ecco il percorso ufficiale confermato dalla documentazione Google:
- Apri l'app Gemini sul tuo smartphone. Γ il punto di ingresso a tutte le impostazioni che riguardano il suo comportamento sul dispositivo, incluse quelle relative alla schermata di blocco.
- Tocca l'immagine del profilo o l'iniziale in alto, poi vai su Impostazioni. Da qui si accede al menu dedicato al comportamento di Gemini quando il telefono Γ¨ bloccato.
- Seleziona la voce "Gemini nella schermata di blocco". Questa sezione raccoglie proprio le due opzioni che determinano cosa Gemini puΓ² fare prima che tu inserisca il PIN.
- Disattiva l'opzione "Usa Gemini senza sbloccare". Impedisce all'assistente di rispondere del tutto quando il telefono Γ¨ bloccato, eliminando alla radice la possibilitΓ che venga sfruttato il gesto descritto in questo articolo.
- Nella stessa schermata, disattiva anche "Fai chiamate e invia messaggi senza sbloccare lo schermo", se disponibile. à l'opzione più direttamente collegata al rischio descritto in questo articolo: è quella che permette a Gemini di gestire messaggi e chiamate prima dell'autenticazione, ed è proprio lì che si inserisce il bug.
- Controlla, sempre dalle impostazioni di Gemini, quali app risultano collegate. Se trovi un collegamento che non ricordi di aver autorizzato, ad esempio con WhatsApp, rimuovilo e controlla i messaggi inviati di recente. La sola presenza di un collegamento, da sola, non dimostra perΓ² che il bug sia stato effettivamente sfruttato: potrebbe risalire a un'autorizzazione concessa legittimamente in passato.
- Installa comunque tutti gli aggiornamenti disponibili, controllando da Impostazioni la sezione dedicata a sistema e aggiornamenti, oppure sicurezza e privacy a seconda del produttore. Google non ha chiarito pubblicamente attraverso quale componente venga distribuita questa specifica correzione, quindi tenere il telefono aggiornato resta la precauzione piΓΉ sensata anche senza una conferma puntuale.
- Disattiva, se non l'hai giΓ fatto, l'anteprima completa dei messaggi WhatsApp e SMS nella schermata di blocco. Non chiude il bug in sΓ©, ma riduce il danno collaterale: anche se qualcuno accede al telefono, non potrΓ leggere il contenuto dei messaggi in arrivo dalle notifiche.
I nomi esatti delle voci di menu possono cambiare leggermente tra Samsung, Google Pixel e altri produttori: se non trovi subito la voce indicata, cerca all'interno delle impostazioni di Gemini una sezione relativa alla schermata di blocco.
Come verificare tu stesso la tua configurazione
Prima di considerare il problema risolto sul tuo telefono, vale la pena controllare con mano la propria configurazione, senza dare per scontato che l'impostazione di fabbrica sia quella piΓΉ sicura.
Verifica la versione di Android e dell'app Gemini installate, controlla se le opzioni "Usa Gemini senza sbloccare" e "Fai chiamate e invia messaggi senza sbloccare lo schermo" risultano attive o disattivate, e osserva se il tuo dispositivo ha giΓ ricevuto l'aggiornamento di sicurezza piΓΉ recente. Se l'aggiornamento risulta disponibile ma non ancora installato, Γ¨ il momento giusto per farlo.
Il PIN protegge il telefono, ma non corregge le eccezioni mal gestite
Il punto che rende questo bug diverso dalle vulnerabilità tradizionali è che non riguarda una falla nel sistema di sblocco in sé: il PIN, l'impronta o il volto restano strumenti validi di protezione. Il problema nasce nel modo in cui un assistente AI integrato nel sistema operativo gestisce le proprie eccezioni, cioè le funzioni pensate per restare disponibili anche a schermo bloccato. Gli assistenti come Gemini stanno ottenendo accesso sempre più profondo a messaggi, contatti e applicazioni, proprio per essere più utili in quei momenti. Ma ogni eccezione concessa prima dell'autenticazione, se mal gestita, diventa un punto debole indipendentemente da quanto sia solido il resto del sistema. Non significa rinunciare a queste funzioni, ma verificare periodicamente quali eccezioni sono attive sul proprio telefono, non soltanto al momento dell'attivazione iniziale.
Le informazioni contenute in questo articolo hanno scopo informativo e si basano sulle fonti disponibili al momento della pubblicazione. Per lo stato di sicurezza aggiornato del tuo dispositivo specifico, fai sempre riferimento ai canali ufficiali del produttore e di Google.
- The Register — prima ricostruzione del bug e conferma diretta di Google, luglio 2026
- TuttoAndroid — dettaglio del meccanismo tecnico e della risposta di Google
- Guida ufficiale Google — le opzioni "Usa Gemini senza sbloccare" e "Fai chiamate e invia messaggi senza sbloccare lo schermo"
Domande frequenti
Gli assistenti AI stanno diventando parte integrante di come usiamo lo smartphone, anche prima di sbloccarlo. ScelgoIo continuerΓ a seguire l'evoluzione di questo bug e a segnalare quando la correzione sarΓ davvero disponibile su tutti i dispositivi.
E tu: avevi giΓ attivato Gemini nella schermata di blocco, o preferisci tenerlo disattivato per sicurezza? Scrivilo nei commenti e segui ScelgoIo per gli aggiornamenti su questa vicenda.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
