Android: Gemini invia SMS senza PIN, YouTube perde il Picture-in-Picture

🛡️ Executive Summary

• Un gesto multitouch consente di superare il PIN quando Gemini tenta di riattivare Messaggi dalla schermata di blocco.
• L’attacco richiede accesso fisico ma può autorizzare SMS e collegamenti ad app come WhatsApp senza il consenso previsto.
• Google distribuisce la correzione, mentre YouTube indaga sul blocco del Picture-in-Picture che colpisce soprattutto gli iPhone.

Due problemi distinti stanno coinvolgendo i servizi Google su smartphone. Il più grave riguarda Gemini, che in determinate condizioni può inviare SMS da un dispositivo Android bloccato senza richiedere il PIN o l’autenticazione biometrica prevista. Il secondo interessa YouTube, dove il Picture-in-Picture non si attiva quando l’utente esce dall’app, lasciando disponibile soltanto la riproduzione audio in background. La vulnerabilità richiede accesso fisico al telefono, mentre il bug di YouTube ha una portata più ampia e colpisce sia Android sia iOS, con segnalazioni particolarmente numerose sugli iPhone.

Gemini può superare il controllo del PIN dalla schermata di blocco

La vulnerabilità emerge quando il proprietario del dispositivo ha disattivato l’accesso di Gemini a un’app come Google Messaggi e qualcuno prova successivamente a inviare un SMS richiamando l’assistente dalla schermata di blocco. Android mostra correttamente un passaggio che dovrebbe obbligare l’utente ad aprire l’app e autenticarsi, ma la pressione simultanea dei comandi “Continua” e “Aggiungi allegato” provoca una condizione anomala nell’interfaccia e consente di proseguire senza inserire il codice. Il messaggio può così partire da un telefono ancora bloccato. Lo stesso percorso può riattivare il collegamento tra Gemini e applicazioni precedentemente escluse, compreso WhatsApp, aggirando la scelta espressa nelle impostazioni. Le segnalazioni raccolte risalgono a maggio 2026 e riguardano dispositivi con Android 16, ma Google ha precisato che il problema non è limitato ai Pixel e non ha pubblicato un elenco completo di produttori o modelli coinvolti. L’episodio assume maggiore rilievo perché l’assistente viene integrato sempre più profondamente nel sistema, come mostra anche la sperimentazione della bolla Gemini persistente su Android, pensata per mantenere l’AI accessibile sopra le altre applicazioni. Google documenta ufficialmente che chiamate e messaggi dalla schermata bloccata devono dipendere da un’opzione esplicita dell’utente, mentre per alcune richieste personali resta previsto lo sblocco del dispositivo.

Il rischio dipende dall’accesso fisico ma compromette i permessi dell’utente

L’exploit non è remoto: un aggressore deve avere il telefono tra le mani, deve poter attivare Gemini dalla lockscreen e deve riprodurre il gesto multitouch nel momento corretto. Questo riduce la superficie d’attacco rispetto a una vulnerabilità sfruttabile attraverso rete, notifiche o contenuti ricevuti, ma non elimina il rischio. Un dispositivo rubato o temporaneamente incustodito può essere usato per inviare messaggi credibili a familiari, colleghi o contatti aziendali, con possibili conseguenze in scenari di frode, social engineering o falsa richiesta di denaro.

Il punto più delicato non riguarda soltanto l’invio dell’SMS: il bypass modifica di fatto la relazione di fiducia tra assistente, lockscreen e permessi delle applicazioni, permettendo di ripristinare integrazioni che il proprietario aveva disabilitato. Google ha confermato il difetto a The Register e ha riferito di aver già implementato una correzione destinata alla distribuzione completa nella settimana del 13-19 luglio 2026. Il caso arriva dopo altri problemi operativi dell’assistente, tra cui il bug che aveva bloccato le chiamate di Gemini su Android e le modifiche con cui Gemini Live sta introducendo controlli più granulari sull’ascolto.

YouTube non attiva più il Picture-in-Picture su Android e iOS

Il secondo problema riguarda il Picture-in-Picture di YouTube, che consente di continuare a vedere un video in una finestra fluttuante mentre si utilizzano altre app. Uscendo da YouTube, il player ridotto non compare e in molti casi rimane soltanto l’audio in background. YouTube ha aperto una segnalazione ufficiale classificata come problema noto e ha indicato che i propri team stanno indagando, precisando che l’impatto riguarda soprattutto iOS, pur includendo anche segnalazioni Android. Il malfunzionamento è particolarmente visibile perché il PiP è diventato una funzione molto più diffusa: nell’aprile 2026 YouTube aveva annunciato l’estensione progressiva agli utenti di tutto il mondo, oltre la platea Premium e i mercati nei quali era già disponibile gratuitamente. Matrice Digitale aveva seguito già in precedenza l’apertura del Picture-in-Picture agli utenti non Premium, mentre gli sviluppi più recenti di Android hanno reso le finestre PiP più persistenti e flessibili. Al momento Google non ha indicato una soluzione temporanea ufficiale né una versione dell’app capace di ripristinare stabilmente la funzione.

Come ridurre l’esposizione in attesa degli aggiornamenti

Fino al completamento della correzione, la misura più efficace consiste nel limitare l’uso di Gemini dalla schermata di blocco. Nelle impostazioni dell’assistente è possibile disattivare “Usa Gemini senza sbloccare” e, soprattutto, l’opzione che permette di effettuare chiamate e inviare messaggi senza autenticazione. Conviene inoltre controllare la sezione dedicata alle app collegate e rimuovere Messaggi, WhatsApp o altri servizi che non devono essere gestiti dall’assistente. L’aggiornamento dell’app Google, di Gemini e dei componenti di sistema resta essenziale, perché la correzione potrebbe essere distribuita lato server o attraverso più pacchetti software. Per YouTube, invece, le verifiche utili riguardano l’abilitazione del Picture-in-Picture nelle impostazioni del sistema e dell’app, ma la natura generalizzata del problema rende improbabile che una semplice reinstallazione risolva tutti i casi. Gli utenti devono quindi monitorare il thread ufficiale di assistenza e gli aggiornamenti su Play Store e App Store, evitando procedure invasive che potrebbero cancellare download, preferenze o sessioni senza garantire il ripristino del player fluttuante. La differenza tra i due episodi resta netta: Gemini espone un problema di controllo degli accessi, mentre YouTube affronta una regressione di affidabilità su una funzione ormai quotidiana.