Wystarczy chwila, fizyczny dostęp do smartfona i jedno połączenie wideo, aby całkowicie obejść zabezpieczenia ekranu blokady. W aplikacji WhatsApp dla systemu Android wykryto poważną lukę bezpieczeństwa. Pozwala ona postronnym osobom na przeglądanie prywatnych zdjęć bez konieczności podawania kodu, wzoru czy skanowania odcisku palca. Co najgorsze, procedura nie wymaga żadnej wiedzy hakerskiej. Atakujący po prostu klika w standardowe opcje interfejsu udostępnione przez samą aplikację.
Przejęcie galerii telefon w kilku kliknięciach
Mechanizm naruszenia prywatności jest w tym przypadku zatrważająco prosty. Gdy zablokowany telefon otrzymuje połączenie wideo na WhatsAppie, osoba trzymająca urządzenie w ręku odbiera je, a następnie przechodzi do ikony efektów. Stamtąd wystarczy przełączyć zakładkę z filtrów na tła i kliknąć przycisk „Stwórz z Meta AI”. Wybranie opcji edycji istniejącego zdjęcia całkowicie ignoruje systemowe protokoły bezpieczeństwa i natychmiast otwiera pełną galerię plików multimedialnych.
Luka została potwierdzona w testach na Pixelu 6 Pro z najnowszymi poprawkami bezpieczeństwa dla Androida 17. W tym przypadku błąd umożliwił nieograniczony dostęp do lokalnej galerii zdjęć bez jakiejkolwiek autoryzacji.
Dlaczego luka w WhatsApp nie działa na wszystkich telefonach? Ochrona zależy od producenta
Wszystko zależy od tego, jak agresywnie dany producent ingeruje w kod systemu i nakłada własną oprawę graficzną. Testy przeprowadzone na wybranych smartfonach pokazują ogromny rozstrzał w poziomie ochrony. Przykładowo nakładka ColorOS w modelu Oppo K13 błyskawicznie przepuszcza intruza prosto do prywatnych albumów. Jednak Samsung zdołał obronić swoich użytkowników. W przypadku Galaxy S25 Ultra z interfejsem One UI system szybko wyłapuje próbę nieautoryzowanego dostępu. Wyłącza proces Meta AI i momentalnie żąda podania kodu PIN lub przyłożenia palca.
Z problemem w ogóle nie mierzą się posiadacze sprzętu Apple. Zamknięty ekosystem i rygorystyczna architektura systemu iOS po raz kolejny pokazują swoją przewagę w kwestiach prywatności. Dzięki wymogom interfejsu CallKit, każde połączenie przychodzące w aplikacji WhatsApp jest obsługiwane przez natywny, systemowy ekran Apple, a nie autorski interfejs komunikatora. W efekcie uruchomienie jakichkolwiek narzędzi edycyjnych czy funkcji Meta AI bez wcześniejszego odblokowania iPhone’a jest technicznie niemożliwe.
Sprawę oficjalnie przekazano już zespołom bezpieczeństwa Google i Meta. Do czasu wydania oficjalnej łatki użytkownikom podatnych modeli Androida pozostaje jedynie zachowanie szczególnej ostrożności i pilnowanie, by ich aparat nie trafił w niepowołane ręce.
Źródło tekstu: X (@VBarraquito) / Zdjęcie otwierające: Unsplash (@shutter_speed_)