Uma falha no WhatsApp permite que qualquer pessoa acesse fotos privadas em seu celular bloqueado

Quando o senhor bloqueia seu smartphone, espera que seus arquivos pessoais e fotos permaneçam totalmente inacessíveis a qualquer outra pessoa. Os sistemas operacionais móveis naturalmente permitem algumas exceções seguras a essa regra, permitindo que o(a) senhor(a) atenda chamadas recebidas, leia trechos de notificações ou verifique a hora sem precisar de uma impressão digital ou senha. No entanto, o acesso aos seus arquivos pessoais é onde essa conveniência deveria terminar. Uma falha incomum atualmente presente no WhatsApp para Android rompe completamente essa barreira, concedendo acesso direto às suas fotos.

Acontece que uma videochamada pelo WhatsApp aparentemente pode ser explorada para acessar fotos privadas armazenadas em um celular Android sem primeiro desbloquear o aparelho. Não se trata de um ataque remoto em que alguém em outro lugar possa simplesmente acessar sua galeria pela internet. A pessoa precisaria de acesso físico ao próprio celular. Mas, uma vez que tenha esse acesso, a videochamada recebida oferece uma maneira de penetrar mais profundamente no dispositivo do que a tela de bloqueio normalmente permitiria, concedendo-lhe, em última instância, acesso total para navegar pelas suas fotos pessoais.

O processo em si é extremamente simples e não requer absolutamente nenhuma habilidade técnica, pois navega por opções de menu padrão. Quando um dispositivo Android bloqueado recebe uma videochamada do WhatsApp, qualquer pessoa que esteja segurando o celular pode simplesmente deslizar o dedo para atendê-la. Assim que a transmissão de vídeo for estabelecida, tocar no ícone de efeitos abre um menu contendo abas para efeitos, filtros e planos de fundo. A interface abre por padrão na aba de filtros, de modo que o usuário precisa apenas alternar para a seção de planos de fundo. A partir daí, clicar no botão “Criar com Meta AI” apresenta opções para criar uma nova imagem ou editar uma foto existente. A seleção da opção “Editar foto” ignora completamente os protocolos de segurança padrão e exibe imediatamente toda a galeria de fotos do dispositivo. Testamos essa falha em um Pixel 6 Pro com Android 17 e o patch de segurança mais recente. A exploração nos concedeu acesso irrestrito para visualizar imagens pessoais armazenadas no dispositivo, sem a necessidade de nenhuma verificação de segurança.

Curiosamente, essa vulnerabilidade não é comum a todos os smartphones Android, já que diferentes fabricantes lidam com as permissões da tela de bloqueio de maneiras próprias. Por exemplo, testar a mesma exploração em um Samsung Galaxy S25 Ultra com o One UI 8.5 bloqueia corretamente a intrusão. Clicar no botão Meta AI no dispositivo Samsung leva o usuário imediatamente à tela de bloqueio, exigindo uma senha ou verificação biométrica. No entanto, a contornagem funciona perfeitamente em um Oppo K13 com o ColorOS 16. Como tanto os aparelhos Samsung quanto os Oppo rodam o Android 16, isso comprova que a falha de segurança depende inteiramente de como marcas específicas desenvolvem suas interfaces de software personalizadas.

Embora a segurança do Android varie significativamente de acordo com o fabricante, a Apple adota uma abordagem universalmente rigorosa. A vulnerabilidade está totalmente ausente nos iPhones, pois isso nunca ocorreria no iOS devido às restrições do CallKit. Quando um iPhone bloqueado recebe uma chamada pelo WhatsApp, a estrutura do CallKit entra em ação e exibe a interface nativa de celular da Apple, em vez da tela personalizada do WhatsApp. Isso bloqueia completamente o acesso à ferramenta de substituição em segundo plano. Para acessar a galeria de imagens nativa, um usuário do iOS é obrigado a desbloquear o dispositivo. Dada a gravidade do risco à privacidade em dispositivos Android que não possuem essa separação rígida, o comportamento já foi relatado tanto à Meta quanto ao Google, para que uma correção oficial possa ser lançada a fim de ajudar os usuários a proteger suas fotos pessoais.