L'acquisizione input GUI è un pattern di attacco mobile in cui il malware ruba ciò che un utente digita manipolando l'interfaccia invece di violare la crittografia. I metodi comuni includono schermate di accesso false, overlay invisibili, dirottamento del focus e abuso delle funzionalità di accessibilità. La vittima crede di inserire un PIN, una password o un codice monouso in un'app legittima, mentre il livello malevolo registra l'input o lo inoltra a un attaccante. Questo è importante perché aggira le difese che proteggono solo i dati memorizzati o il traffico di rete: il segreto viene sottratto nel momento in cui viene inserito.
Nelle campagne di frode su Android, l'acquisizione input GUI si osserva spesso nei trojan bancari e nei framework di phishing che prendono di mira le app finanziarie. I difensori riducono il rischio bloccando gli overlay nelle schermate sensibili con controlli come HIDE_OVERLAY_WINDOWS, esaminando le autorizzazioni pericolose, monitorando un uso sospetto dei servizi di accessibilità e aggiungendo segnali di rischio del dispositivo ai controlli di accesso e delle transazioni. La lezione pratica è che la schermata fa parte della superficie di attacco, quindi la fiducia nella sessione dipende da più di una password o un PIN corretti.