Det norske sikkerhetsselskapet Promon har avdekket et alvorlig sikkerhetshull i Android, som har blitt døpt «StrandHogg».

Når en app trenger tilgang til bildene på telefonen din, SMS-meldingene, posisjonen din eller hva det måtte være, spretter det vanligvis opp en boks der du enten tillater eller nekter appen tilgang til det den spør om.

Men det viser seg at en svakhet i Android gjør at en ondsinnet app kan be om slike rettigheter i det du starter en annen app. Så når du tror du gir disse rettighetene til appen du har trykket på, gir du dem egentlig til den ondsinnede appen.

Svakheten kan også utnyttes ved å vise forfalskede innloggingsskjemaer, slik at brukernavn og passord til sosiale medier, Paypal og lignende kan komme på avveie:

Og med tilgang til SMS-meldingene kan man på mange tjenester også komme rundt tofaktorautentisering.

I videoen under demonstrerer Promon hvordan det hele fungerer:

Alle Android-versjoner skal være utnyttbare for denne skadevaren, men varianten med å be om rettigheter er kun tilgjengelig på Android 6.0 og oppover - på eldre Android-versjoner måtte du godkjenne rettighetene før du lastet ned appene fra Play butikk.