Σύμφωνα με τον Łukasz Siewierski της Google, διάφοροι διαδικτυακοί εγκληματίες έχουν καταφέρει να διαρρεύσουν τα signing keys που χρησιμοποιούνται από διάφορους κατασκευαστές του Android για να κάνουν sign εφαρμογές συστήματος που χρησιμοποιούνται στις Android συσκευές. Τα εν λόγω signing keys χρησιμοποιούνται για να πιστοποιήσουν ότι τα apps αλλά και το ίδιο το λειτουργικό που τρέχει στη συσκευή σου είναι οι γνήσιες εκδόσεις.
Ένας διαδικτυακός εγκληματίας που έχει πρόσβαση στα εν λόγω κλειδιά, μπορεί να κάνει sign επιβλαβείς εφαρμογές και να τις εγκαταστήσει στη συσκευή σου. Είναι σαν κάποιος να πάρει τα κλειδιά από το σπίτι ή το αυτοκίνητο με την έγκρισή σου, επισημαίνει το phonearena. Και ορισμένα από τα κλειδιά αυτά χρησιμοποιούνται για το signing κανονικών εφαρμογών που εγκαθίστανται από το Play Store ή γίνονται sideload στις συσκευές.
Ο Mishaal Rahman ένας από τους γνωστότερους πρώην συντάκτες του XDA Developers, αναφέρει ότι τα κλειδιά δεν μπορούν να χρησιμοποιηθούν για την εγκατάσταση over the air ενημερώσεων. Και προσθέτει ότι το Play Store Protect σύστημα μπορεί να αναγνωρίσει εφαρμογές που έχουν εγκατασταθεί με αυτά τα κλειδιά που διέρρευσαν.
Οι εταιρείες που επηρεάζονται είναι, η Samsung, η LG, η Mediatek, η Szroco και Revoview. H Google αναφέρει πάντως ότι η σοβαρή αυτή ευπάθεια αναφέρθηκε τον περασμένο Μάιο και οι εταιρείες έχουν λάβει τα απαραίτητα μέτρα για να μειώσουν την επίδραση. Επισημαίνει επίσης ότι οι χρήστες προστατεύονται από το Play Protect και από τα μέτρα που έχουν λάβει οι κατασκευαστές.
Η Google από την μεριά της προτείνει στους OEMs να σταματήσουν τη χρήση των εν λόγω κλειδιών που έχουν διαρρεύσει, να ξεκινήσουν έρευνα για το πως αυτά διέρρευσαν, ενώ στους χρήστες προτείνει να βεβαιωθούν ότι βρίσκονται στη τελευταία και πιο πρόσφατη έκδοση του Android και έχουν εγκαταστήσει όλες τις ενημερώσεις ασφαλείας.
