C’è un bug nelle videochiamate WhatsApp per Android: si accede alle foto private anche senza sblocco

Su WhatsApp per Android è stata individuata una falla di sicurezza che può permettere di accedere alle foto private senza dover sbloccare lo smartphone. Non sono necessari software particolari per aggirare il riconoscimento biometrico né attacchi zero click come quelli che su Fanpage.it stiamo raccontando da qualche mese. In questo caso è sufficiente avere il telefono tra le mani nel momento in cui si riceve una videochiamata.

Come funziona la vulnerabilità di WhatsApp su Android

Il problema è stato segnalato su X ed è stato già verificato da diversi siti specializzati. Come avviene con le normali telefonate, le videochiamate effettuate su WhatsApp possono essere accettate anche dalla schermata di blocco. È una funzione comune a tutti gli smartphone (anche quelli con sistemi operativi diversi da Android) per garantire una risposta rapida. Il problema è che, una volta avviata la chiamata, l'utente può accedere anche agli strumenti per impostare un filtro o un effetto particolare al video. Digitando su questa opzione si apre anche la possibilità di scegliere la funzione di Meta AI per modificare le immagini. È proprio questa la falla che spalanca le porte ai contenuti che, almeno in teoria, dovrebbero essere inaccessibili senza l'inserimento di una password o il riconoscimento facciale.

Da qui si può infatti modificare una fotografia e, in alcuni smartphone, anziché richiedere lo sblocco preventivo, WhatsApp bypassa il controllo e mostra direttamente le immagini salvate nella galleria. Il resto del telefono rimane inaccessibile, ma l'utilizzatore del dispositivo può comunque sfogliare tutte le foto e i video caricati in quella sezione.

Il problema non riguarda tutti gli smartphone Android

La falla non sembra interessare indistintamente tutti i dispositivi Android. I test condotti da alcuni utenti e da siti come Notebookcheck.net hanno mostrato differenze significative tra i produttori, legate al modo in cui le rispettive interfacce software gestiscono le autorizzazioni dalla schermata di blocco. Su alcuni Google Pixel e dispositivi Oppo la procedura ha permesso di visualizzare le immagini senza autenticazione, ma alcuni smartphone Samsung Galaxy hanno invece interrotto l'operazione, chiedendo di sbloccare il telefono prima di consentire l'accesso alle fotografie. Ciò significa dunque che l'errore non è all'interno del sistema Android, ma nel tipo di interazione tra WhatsApp e le varie personalizzazioni software realizzate dai singoli produttori.

Nessun problema invece per iPhone. Su iOS, WhatsApp deve utilizzare l'interfaccia nativa delle chiamate gestita dal sistema attraverso CallKit. Questa separazione impedisce di raggiungere dalla schermata di blocco gli strumenti che consentono di accedere alle fotografie. Per visualizzare la galleria, quindi, è necessario prima autenticarsi sul dispositivo.

Come proteggere le proprie foto in attesa di una soluzione

Fortunatamente questa criticità presenta rischi limitati per gli utenti. Lo smartphone deve essere fisicamente nelle mani dell'utilizzatore per applicare il trucco e poiché tutte le altre funzioni restano bloccate, anche una volta entrati nella galleria non è possibile fare screen o inviare contenuti a un altro cellulare. Tutto cambia in caso di furto o ritrovamento: in quel caso un eventuale malintenzionato potrebbe aprire le immagini da smartphone e fotografare lo schermo usando un secondo dispositivo.

La vulnerabilità va quindi risolta e molti diversi hanno già affermato di aver segnalato la questione a Meta sia a Google, anche se al momento non risulta sia ancora avvenuta una correzione ufficiale e valida per tutti i dispositivi interessati. Come misura temporanea, è comunque possibile controllare nelle impostazioni Android i permessi concessi a WhatsApp e impostare l'accesso a foto e video su "limitato". Questa modifica può impedire il funzionamento della procedura sfruttata dalla falla, riducendo il rischio che le immagini vengano visualizzate senza aver sbloccato lo smartphone.