Una falla di WhatsApp consente a chiunque di accedere alle foto private presenti sul Suo telefono bloccato

Quando si blocca lo smartphone, ci si aspetta che i propri file e le proprie foto personali rimangano completamente inaccessibili a chiunque altro. I sistemi operativi mobili prevedono naturalmente alcune eccezioni sicure a questa regola, consentendoLe di rispondere alle chiamate in arrivo, leggere brevi estratti delle notifiche o controllare l’ora senza bisogno di impronta digitale o codice di accesso. Tuttavia, l’accesso ai Suoi file personali è il limite oltre il quale tale comodità dovrebbe terminare. Una vulnerabilità insolita attualmente presente in WhatsApp per Android infrange completamente tale barriera, consentendo l’accesso diretto alle Sue foto.

È emerso che, a quanto pare, una videochiamata su WhatsApp può essere sfruttata per accedere alle foto private memorizzate su uno smartphone Android senza dover prima sbloccare il dispositivo. Non si tratta di un attacco remoto in cui qualcuno, da un’altra postazione, possa semplicemente accedere alla Sua galleria tramite Internet. Una persona avrebbe bisogno di avere accesso fisico allo smartphone stesso. Ma una volta ottenuto tale accesso, la videochiamata in arrivo offre un modo per penetrare nel dispositivo oltre quanto normalmente consentito dalla schermata di blocco, garantendole in definitiva pieno accesso per sfogliare le vostre foto personali.

Il processo in sé è straordinariamente semplice e non richiede assolutamente alcuna competenza tecnica, poiché si naviga attraverso le opzioni standard del menu. Quando un dispositivo Android bloccato riceve una videochiamata su WhatsApp, chiunque abbia in mano il telefono può semplicemente scorrere con il dito per rispondere. Una volta stabilita la connessione video, toccando l’icona degli effetti si apre un menu contenente schede dedicate a effetti, filtri e sfondi. L’interfaccia si apre per impostazione predefinita sulla scheda dei filtri, pertanto l’utente deve semplicemente passare alla sezione degli sfondi. Da lì, cliccando sul pulsante «Crea con Meta AI» vengono presentate le opzioni per creare una nuova immagine o modificare una foto esistente. Selezionando l’opzione «Modifica foto» si aggirano completamente i protocolli di sicurezza standard e si apre immediatamente l’intera galleria fotografica del dispositivo. Abbiamo testato questa vulnerabilità su un Pixel 6 Pro con sistema operativo Android 17 e l’ultima patch di sicurezza installata. L’exploit ci ha consentito di accedere senza restrizioni alle immagini personali memorizzate sul dispositivo, senza che fosse richiesto alcun controllo di sicurezza.

È interessante notare che questa vulnerabilità non è presente in tutti gli smartphone Android, poiché i diversi produttori gestiscono le autorizzazioni della schermata di blocco a modo loro. Ad esempio, testando lo stesso exploit su un Samsung Galaxy S25 Ultra con One UI 8.5, l’intrusione viene correttamente bloccata. Facendo clic sul pulsante Meta AI sul dispositivo Samsung, l’utente viene immediatamente reindirizzato alla schermata di blocco, dove gli viene richiesta una password o una scansione biometrica. Tuttavia, l’aggiramento funziona perfettamente su un Oppo K13 con ColorOS 16. Poiché sia i telefoni Samsung che quelli Oppo funzionano con Android 16, ciò dimostra che la falla di sicurezza dipende interamente dal modo in cui i singoli marchi realizzano le proprie interfacce software personalizzate.

Mentre la sicurezza di Android varia notevolmente a seconda del produttore, Apple adotta un approccio universalmente rigoroso. La vulnerabilità è del tutto assente sugli iPhone poiché non si verificherebbe mai su iOS a causa delle restrizioni di CallKit. Quando un iPhone bloccato riceve una chiamata su WhatsApp, il framework CallKit interviene e visualizza l’interfaccia nativa di Apple per la rete cellulare anziché la schermata personalizzata di WhatsApp. Ciò blocca completamente l’accesso allo strumento di sostituzione in background. Per accedere alla galleria immagini nativa, un utente iOS è costretto a sbloccare il dispositivo. Data la gravità del rischio per la privacy sui dispositivi Android che non dispongono di questa rigida separazione, il comportamento è già stato segnalato sia a Meta che a Google, affinché possa essere rilasciata una patch ufficiale che aiuti gli utenti a proteggere le proprie foto personali.