Google heeft Android uitgerust met een nieuwe feature die gebruikers waarschuwt wanneer hun wachtwoorden in een bekend datalek voorkomen. Bij het invoeren of opslaan van een wachtwoord in een app zal de Autofill-feature die met een lijst van bekende datalekken controleren. Wanneer blijkt dat het wachtwoord van de gebruiker is gecompromitteerd krijgt die een waarschuwing te zien.

Autofill werkt alleen wanneer gebruikers hun wachtwoorden in hun Google-account hebben opgeslagen of opslaan. Wordt een wachtwoord voor de eerste keer ingevoerd of opgeslagen dan wordt er een hash van het wachtwoord gemaakt en een prefix van de hash naar Google gestuurd. Google stuurt een lijst terug met hashes van bekende gelekte wachtwoorden die dezelfde prefix delen.

Vervolgens wordt op het toestel van de gebruiker gekeken of het wachtwoord van de gebruiker met één van deze gelekte wachtwoorden overeenkomt. Is dat het geval, dan verschijnt er een waarschuwing. Google heeft zo naar eigen zeggen geen toegang tot de onversleutelde hash van het wachtwoord van de gebruiker. En de gebruiker heeft geen toegang tot de lijst met onversleutelde hashes van gelekte wachtwoorden.

De Autofill-feature, die beschikbaar is voor Android 9 en nieuwer, kan als extra beveiligingsmaatregel van biometrische authenticatie worden voorzien. Wanneer gebruikers hun wachtwoord via de feature invoeren moeten ze zich eerst biometrisch authenticeren.