Luka w zabezpieczeniach aplikacji WhatsApp umożliwia każdemu dostęp do prywatnych zdjęć na zablokowanym telefonie

Kiedy blokują Państwo swój smartfon, oczekują Państwo, że Państwa osobiste pliki i zdjęcia pozostaną całkowicie niedostępne dla innych osób. Mobilne systemy operacyjne w naturalny sposób dopuszczają kilka bezpiecznych wyjątków od tej zasady, umożliwiając odbieranie połączeń przychodzących, przeglądanie fragmentów powiadomień lub sprawdzanie godziny bez konieczności podawania odcisku palca lub kodu dostępu. Jednak dostęp do Państwa osobistych plików powinien stanowić granicę tej wygody. Niezwykła luka obecna obecnie w aplikacji WhatsApp na system Android całkowicie przełamuje tę barierę, zapewniając bezpośredni dostęp do Państwa zdjęć.

Okazuje się, że wideorozmowa przez WhatsApp może najwyraźniej zostać wykorzystana do uzyskania dostępu do prywatnych zdjęć przechowywanych na telefonie z systemem Android bez konieczności uprzedniego odblokowania urządzenia. Nie jest to atak zdalny, w ramach którego osoba znajdująca się w innym miejscu może po prostu uzyskać dostęp do Państwa galerii przez Internet. Sprawca musiałby mieć fizyczny dostęp do samego telefonu. Jednak gdy już go uzyska, przychodząca rozmowa wideo umożliwia jej przedostanie się głębiej do urządzenia niż pozwala na to zwykle ekran blokady, co ostatecznie zapewnia jej pełny dostęp do przeglądania Państwa osobistych zdjęć.

Sam proces jest niezwykle prosty i nie wymaga absolutnie żadnych umiejętności technicznych, ponieważ opiera się na nawigacji po standardowych opcjach menu. Gdy zablokowane urządzenie z systemem Android odbiera połączenie wideo w aplikacji WhatsApp, każda osoba trzymająca telefon może po prostu przesunąć palcem, aby je odebrać. Po nawiązaniu połączenia wideo dotknięcie ikony efektów otwiera menu zawierające zakładki z efektami, filtrami i tłem. Interfejs domyślnie otwiera się w zakładce filtrów, więc użytkownik musi jedynie przejść do sekcji tła. Po kliknięciu przycisku „Utwórz za pomocą Meta AI” pojawiają się opcje utworzenia nowego obrazu lub edycji istniejącego zdjęcia. Wybranie opcji „Edytuj zdjęcie” całkowicie pomija standardowe protokoły bezpieczeństwa i natychmiast wyświetla całą galerię zdjęć urządzenia. Przetestowaliśmy tę lukę na urządzeniu Pixel 6 Pro z systemem Android 17 i najnowszą poprawką zabezpieczeń. Wykorzystanie tej luki zapewniło nam nieograniczony dostęp do przeglądania osobistych zdjęć przechowywanych na urządzeniu bez konieczności przechodzenia jakiejkolwiek kontroli bezpieczeństwa.

Co ciekawe, ta luka w zabezpieczeniach nie dotyczy wszystkich smartfonów z systemem Android, ponieważ różni producenci obsługują uprawnienia ekranu blokady na własny sposób. Na przykład przetestowanie tego samego exploita na telefonie Samsung Galaxy S25 Ultra z systemem One UI 8.5 skutecznie blokuje włamanie. Kliknięcie przycisku Meta AI na urządzeniu Samsung natychmiast przenosi użytkownika na ekran blokady, wymagając podania kodu dostępu lub skanowania biometrycznego. Jednak obejście to działa bez zarzutu na telefonie Oppo K13 z systemem ColorOS 16. Ponieważ zarówno telefony Samsunga, jak i Oppo działają pod kontrolą systemu Android 16, dowodzi to, że luka w zabezpieczeniach zależy wyłącznie od sposobu, w jaki poszczególne marki tworzą swoje niestandardowe interfejsy oprogramowania.

Podczas gdy zabezpieczenia systemu Android różnią się znacznie w zależności od producenta, firma Apple stosuje powszechnie rygorystyczne podejście. Luka ta nie występuje w ogóle na telefonach iPhone, ponieważ w systemie iOS nigdy nie doszłoby do jej wykorzystania ze względu na ograniczenia CallKit. Gdy zablokowany iPhone odbiera połączenie z aplikacji WhatsApp, wkracza framework CallKit i wyświetla natywny interfejs sieci komórkowej firmy Apple zamiast niestandardowego ekranu aplikacji WhatsApp. Blokuje to całkowicie dostęp do narzędzia do zamiany obrazów w tle. Aby uzyskać dostęp do natywnej galerii zdjęć, użytkownik systemu iOS jest zmuszony do odblokowania urządzenia. Biorąc pod uwagę powagę zagrożenia dla prywatności na urządzeniach z systemem Android, które nie posiadają tego rygorystycznego rozdzielenia, problem ten został już zgłoszony zarówno firmie Meta, jak i Google, aby można było wydać oficjalną poprawkę pomagającą użytkownikom zabezpieczyć ich osobiste zdjęcia.