ИБ-исследователи из FireEye обнаружили способ похищения данных об отпечатках пальцев пользователей таких мобильных устройств с биометрическими сканерами, как Samsung Galaxy S5 и HTC One Max. Эксперты выяснили, что в HTC One Max отпечатки пальцев хранятся в виде незашифрованного графического файла dbgraw.bmp. Злоумышленники с помощью любого непривилегированного процесса или приложения могут получить доступ к данному изображению, причем в высоком разрешении.

Специалисты Юлонг Чжан (Yulong Zhang), Чжаофэн Чэнь (Zhaofeng Chen), Хуэй Сюэ (Hui Xue) и Тао Вей (Tao Wei) отметили на конференции Black Hat в Лас-Вегасе, что это только первый сценарий, которым хакеры могут воспользоваться для похищения биометрических данных. Злоумышленники могут также использовать поддельные экраны блокировки для аутентификации личности в популярных платежных системах с целью перехвата денежных переводов и хищения средств. Эксперты сообщили, что многие производители мобильных устройств на базе Android не используют технологию TrustZone для защиты биометрических данных.

ИБ-исследователи также отметили, что к 2019 году половина всех проданных мобильных устройств будет оснащена сканером отпечатков пальцев. Удаленное выполнения кода позволит злоумышленникам похищать биометрические данные массово. Вполне вероятно, что хакеры также смогут добавлять свои отпечатки пальцев, имея физический доступ к мобильному устройству пользователя.