Un nuovo bug di WhatsApp su alcuni smartphone Android sta facendo discutere per un motivo tutt'altro che banale. In determinate condizioni, infatti, sarebbe possibile accedere alle foto presenti nel rullino anche quando il dispositivo è ancora bloccato.
Non si tratta di un metodo che permette di prendere il controllo completo dello smartphone. Il problema riguarda piuttosto una combinazione particolare tra la schermata di blocco di Android e alcune funzioni disponibili durante una videochiamata di WhatsApp.
L’esorcista: Martiri, Scarlett Johansson protagonista del Trailer e Foto dal reboot di Mike Flanagan
La situazione è stata segnalata pubblicamente e successivamente testata su alcuni dispositivi. Nel frattempo, però, esiste una soluzione temporanea che permette di ridurre il rischio in attesa dell'aggiornamento definitivo.
Come funziona il bug di WhatsApp
La vulnerabilità è stata inizialmente mostrata pubblicamente da José Rodríguez, che ha condiviso su X un video dimostrativo.
Il presupposto è abbastanza semplice: qualcuno deve avere accesso fisico allo smartphone. Non è quindi un attacco completamente remoto.
Il telefono deve inoltre essere bloccato e ricevere una videochiamata tramite WhatsApp.
Secondo la dimostrazione, su alcuni dispositivi Android è possibile rispondere alla chiamata direttamente dalla schermata di blocco. Normalmente questa possibilità rappresenta una comodità.
In questo caso, però, la schermata della videochiamata sembra offrire ulteriori opzioni.
Toccando l'icona dedicata agli effetti, infatti, si può accedere a un menu con filtri e sfondi. Ed è proprio da questo percorso che può emergere il problema.
Tra le funzioni disponibili compare anche l'opzione “Crea con Meta AI”, che può consentire di interagire con immagini presenti sul dispositivo.
Il risultato è potenzialmente problematico: su determinati smartphone, queste funzioni possono permettere di visualizzare fotografie personali senza aver prima effettuato lo sblocco del telefono.
Il test su Google Pixel 6 Pro
La questione non è rimasta soltanto una dimostrazione pubblicata sui social.
NotebookCheck ha infatti testato la procedura utilizzando un Google Pixel 6 Pro con Android 17 e l'ultima patch di sicurezza disponibile al momento della prova.
Secondo il test, la procedura ha permesso di raggiungere le immagini personali memorizzate sul dispositivo senza richiedere un'ulteriore verifica di sicurezza.
È proprio questo l'aspetto più delicato della vicenda.
Lo smartphone dovrebbe proteggere i contenuti personali quando è bloccato. Una funzione accessibile dalla schermata di una chiamata potrebbe invece creare una sorta di percorso alternativo verso il contenuto multimediale.
Va comunque sottolineato che non tutti gli smartphone Android sembrano essere vulnerabili allo stesso modo.
Il comportamento può infatti cambiare in base al produttore, alla versione del sistema operativo e alle personalizzazioni applicate all'interfaccia.
Samsung, Oppo e altri telefoni non reagiscono allo stesso modo
Uno degli elementi più importanti emersi dai test riguarda proprio le differenze tra i vari dispositivi Android.
Sul Samsung Galaxy S25 Ultra con One UI 8.5, per esempio, la procedura descritta non avrebbe permesso di accedere liberamente alle fotografie.
Quando veniva selezionata l'opzione “Crea con Meta AI”, il sistema richiedeva infatti un codice di accesso oppure una verifica biometrica.
Su un Oppo K13 con ColorOS 16, invece, il comportamento risultava differente e permetteva di raggiungere il rullino fotografico.
Questo significa che non è corretto parlare di un problema che riguarda indistintamente tutti gli smartphone Android.
La vulnerabilità sembra dipendere dall'interazione tra WhatsApp, Android e le modalità con cui ciascun produttore gestisce le funzioni disponibili dalla schermata di blocco.
Per questo motivo, anche chi possiede un dispositivo Android aggiornato dovrebbe prestare attenzione.
Serve per forza l'accesso fisico al telefono?
Sì, ed è una distinzione importante.
La procedura descritta non sembra consentire a un malintenzionato di entrare nel rullino fotografico semplicemente conoscendo il numero di telefono della vittima.
È necessario che il dispositivo sia fisicamente disponibile e che la persona riesca a interagire con la schermata di blocco.
Questo riduce notevolmente lo scenario di rischio.
Allo stesso tempo, però, non lo elimina completamente.
Un telefono lasciato incustodito su una scrivania, su un tavolo o in un altro luogo accessibile potrebbe teoricamente essere manipolato da qualcuno che conosce questa procedura.
Non risultano, al momento della segnalazione, indicazioni secondo cui il bug sia stato utilizzato su larga scala per sottrarre fotografie agli utenti.
La possibilità che una funzione pensata per rendere più semplice l'utilizzo della videochiamata possa aggirare alcune protezioni della schermata di blocco rimane comunque un problema di privacy.
Come proteggere le foto su WhatsApp
La buona notizia è che esiste una soluzione temporanea piuttosto semplice.
Il metodo indicato consiste nel modificare le autorizzazioni concesse a WhatsApp per l'accesso alle fotografie e ai video.
Su Android bisogna aprire:
Impostazioni → App → WhatsApp → Autorizzazioni → Foto e video
A questo punto, invece di mantenere l'accesso completo alla libreria, è possibile scegliere l'opzione che permette un accesso limitato alle fotografie.
In questo modo WhatsApp non dovrebbe avere accesso indiscriminato all'intero rullino fotografico.
La soluzione può essere particolarmente utile per chi possiede uno smartphone che potrebbe essere interessato dal problema.
Naturalmente, modificare questa autorizzazione potrebbe avere conseguenze pratiche quando si tenta di inviare fotografie o video attraverso WhatsApp.
In quel caso potrebbe essere necessario selezionare manualmente i contenuti ai quali concedere l'accesso.
Gli utenti iPhone sono al sicuro?
Secondo le informazioni disponibili, gli utenti iPhone non sembrano essere interessati da questo specifico problema.
Il motivo riguarda il modo in cui iOS gestisce le chiamate dalla schermata di blocco.
Le restrizioni di CallKit utilizzate da Apple mostrano infatti l'interfaccia telefonica standard del sistema invece di permettere a WhatsApp di offrire lo stesso tipo di schermata personalizzata descritta sui dispositivi Android interessati.
Inoltre, le limitazioni del sistema impedirebbero l'utilizzo dello strumento di sostituzione dello sfondo nella stessa modalità.
Di conseguenza, la procedura mostrata nei test non dovrebbe essere replicabile sugli iPhone.
Meta sta già lavorando alla soluzione
La vicenda non sembra destinata a rimanere senza risposta.
Meta è stata contattata da UNILADTech e ha confermato che WhatsApp sta già distribuendo una correzione.
L'azienda ha descritto il problema come uno “scenario molto limitato”, sottolineando quindi la natura circoscritta della situazione.
Questo non significa che il problema debba essere ignorato.
Fino alla disponibilità della correzione definitiva, modificare temporaneamente le autorizzazioni di WhatsApp può rappresentare una misura prudente per chi utilizza un dispositivo Android potenzialmente interessato.
Un altro promemoria sull'importanza della schermata di blocco
La vicenda dimostra ancora una volta quanto sia importante non considerare la schermata di blocco dello smartphone come una protezione assoluta contro qualsiasi interazione.
Android permette infatti alcune funzioni direttamente dalla schermata bloccata, soprattutto per rendere più immediate chiamate e notifiche.
Queste comodità devono però convivere con la necessità di proteggere dati personali, fotografie e altri contenuti privati.
In questo caso, il problema sembra nascere proprio dall'interazione tra più elementi.
WhatsApp, le funzioni di videochiamata, Android e le personalizzazioni dei singoli produttori possono comportarsi in maniera differente.
Per questo motivo, non basta sapere quale versione di Android si sta utilizzando. È importante considerare anche il modello dello smartphone e la relativa interfaccia proprietaria.
Nel frattempo, la soluzione più semplice consiste nel controllare le autorizzazioni di WhatsApp per foto e video e, se possibile, limitarle.
La correzione ufficiale dovrebbe arrivare attraverso un aggiornamento dell'applicazione. Fino ad allora, chi utilizza Android farebbe bene a verificare le impostazioni della privacy del proprio dispositivo.
Per tutte le ultime novità su WhatsApp, Android, iPhone, privacy e sicurezza tecnologica, continua a seguire Mister Movie.
