当地时间12月6日，世界级黑客大赛Pwn2Own 2022在多伦多正式开赛。在比赛的第一天，运行了最新版本的Android操作系统、安装了所有可用的安全更新的三星旗舰手机Galaxy S22，先后被2位/组选手攻破。
一日双杀 三星手机0day漏洞已被预告？
开赛当天，STAR实验室团队率先利用该设备存在的0day漏洞，成功执行了不正确的输入验证攻击，并因此获得了5万美元奖金和5个积分。
另一位参赛者Chim也通过执行不正确的输入验证攻击，攻破了三星 Galaxy S22，并获得了2.5万美元奖金和5个积分。（根据比赛规则，针对同一设备进行挑战的第一名获胜者将获得全额奖金，所有其他后续获胜者将获得50%的奖金，但都会获得相同的Master of Pwn 积分。）
就在11月，谷歌也表示，有证据表明一家商业监控供应商正在利用三星新款智能手机中发现的三个零日安全漏洞。这些漏洞是在三星的定制软件中发现的，它们被一起用作攻击链上的一部分，以针对运行安卓的三星手机。链式漏洞允许攻击者以root用户身份获得内核读写权限，并最终暴露设备数据。
在今年初，特拉维夫大学的研究人员发现三星手机的数据加密存在“严重”设计缺陷，可能让攻击者窃取三星手机的硬件加密密钥，并提取三星智能手机中最敏感的数据。而这个漏洞是三星Galaxy系列手机ARM TrustZone系统中密钥存储方式的一个特定问题。Galaxy S8、Galaxy S9、Galaxy S10、Galaxy S20、Galaxy S21多款三星手机均受影响，涉及至少1亿部Android智能手机。
一年两次数据泄露 三星集团安全性堪忧
不只是三星手机产品，甚至三星集团也安全事件频发。
今年3月，勒索组织Lapsus$称从三星电子窃取了大量敏感数据，并泄露了 190GB 的所谓三星数据作为黑客攻击的证据。
9月2日，三星发布公告称，今年7月下旬三星安全部门在进行例行检查时，发现有部分“未经授权的第三方从三星美国系统中（不当地）获取了信息”，此举可能会导致该公司部分用户的个人信息资料泄露。
7月下旬发生的数据泄露，8月4日才被发现，而这还不包括此前黑客在系统内进行潜伏的时间。
看来，三星不止需要加强产品的安全能力，集团自身的安全防护也有待加强。
对了，在去年的Pwn2Own上，当时的三星旗舰手机Galaxy S21被F-Secure Labs的Ken Gannon成功攻破。
而Galaxy S23或将于2023年2月发布，你会考虑入手吗？