Alcuni ricercatori dell'Università del Texas a Austin hanno segnalato l'esistenza di una falla in tutte le versioni di Android Lollipop comprese tra la 5.0 e la 5.1.1 (è quindi esclusa l'ultimissima build, la LMY48M.

Sfruttandola si può aggirare il lock screen e ottenere accesso completo al dispositivo, anche se è stata attivata la crittografia, a patto che siano rispettato due condizioni: bisogna avere accesso fisico al dispositivo da compromettere e questo deve essere protetto con una password, non con un PIN o con uno schema da disegnare sullo schermo.

Il problema sta nella gestione delle stringhe di caratteri molto lughe da parte del campo di immissione della password. Tutto ciò che bisogna fare è utilizzare la schermata per le telefonate di emergenza per scrivere una serie di caratteri casuali, per poi copiarli a ripetizione nel campo della password; se si apre anche l'app della fotocamera e si riempie il campo password sino al limite si riesce a mandare in crash l'app e ad accedere alla schermata Home, da cui è possibile poi accedere alle impostazioni e attivare il debugging via USB, da utilizzare per ottenere l'accesso completo al dispositivo.

Tutti i passaggi necessari sono elencati sul sito dell'Università del Texas, il quale contiene anche una buona notizia: i dispositivi Nexus, che Google mantiene costantemente aggiornati, hanno già ricevuto la patch che risolve questo problema.

A rimanere esposti sono ovviamente quei dispositivi che non usano la versione originale di Android ma versioni personalizzate dai vari costruttori: per questi possono passare mesi prima che la correzione venga distribuita, sempre ammesso che l'azienda si prenda la briga di provvedere; chi possiede un dispositivo non recentissimo infatti sa bene che il supporto non dura molto a lungo.