Una videochiamata WhatsApp in arrivo può, in alcuni casi, aprire un varco inatteso verso la galleria di uno smartphone Android bloccato. Non si tratta però di un accesso remoto “a chiunque”, né di un exploit sofisticato: il comportamento osservato dipende dal dispositivo e richiede comunque accesso fisico al telefono.
La scoperta, mostrata dal ricercatore di sicurezza Jose Rodriguez, mette in luce un problema reale e riproducibile su alcuni modelli. Il punto critico non è tanto l’app in sé, quanto la catena di interfacce che si attiva sopra la schermata di blocco e che, in certi casi, arriva fino alle foto archiviate senza richiedere PIN, password o biometria.
WhatsApp su Android e il bypass del blocco schermo
Nella dimostrazione pubblicata da Rodriguez, un Android bloccato riceve una videochiamata WhatsApp. Dopo aver risposto, si accede agli effetti della chiamata, poi alla sezione degli sfondi e infine a una funzione collegata a Meta AI che propone di modificare un’immagine. Da lì, selezionando l’opzione per editare una foto, compare la raccolta delle immagini presenti sul telefono.
Il comportamento non è identico su tutti i modelli. Su un Pixel 6 Pro con Android 17 e su un Oppo K13 con ColorOS 16 il passaggio funziona; su un Samsung Galaxy S25 Ultra con Android 16 e One UI 8.5, invece, il sistema interrompe la sequenza e riporta correttamente alla schermata di autenticazione. Questa differenza rende il caso interessante dal punto di vista tecnico, perché mostra quanto contino le scelte dei singoli produttori.
Perché accade e dove sta il problema
La sequenza non sfrutta codice malevolo, app modificate o tecniche di escalation dei privilegi. Il meccanismo nasce dalla combinazione di funzioni che, prese singolarmente, hanno senso: Android consente ad alcune attività di mostrarsi sopra il lock screen, le chiamate possono essere gestite senza sbloccare il dispositivo e l’editor immagini deve poter richiedere una foto da modificare.
Il punto debole emerge quando il flusso attraversa il confine tra ciò che può apparire con il telefono bloccato e ciò che, invece, dovrebbe richiedere un’autenticazione esplicita. Android mette a disposizione API e controlli come KeyguardManager per distinguere tra dispositivo bloccato e sbloccato, ma l’efficacia di queste protezioni varia in base all’implementazione dell’interfaccia e alle personalizzazioni del produttore.
Per questo parlare genericamente di “vulnerabilità di WhatsApp” è riduttivo. Più correttamente si tratta di un bypass locale delle restrizioni della schermata di blocco, con possibile esposizione di informazioni private su telefoni smarriti, rubati o lasciati incustoditi per qualche minuto.
Cosa fare per proteggere le proprie foto
La prima misura è tenere aggiornati WhatsApp, Android e i componenti di sistema distribuiti tramite Google Play, in attesa di una correzione ufficiale. Non essendoci ancora un bollettino definitivo, non è possibile indicare una versione sicura con certezza.
Come mitigazione temporanea può essere utile attivare in WhatsApp l’opzione per silenziare le chiamate da numeri sconosciuti, disponibile in Impostazioni, Privacy, Chiamate. Non risolve il problema, ma riduce una delle strade più semplici per attivare la sequenza dimostrata dal ricercatore.
Vale anche la pena controllare le impostazioni della schermata di blocco e delle notifiche, perché Pixel, Samsung, Oppo e altri produttori offrono opzioni diverse per limitare ciò che compare a schermo quando il dispositivo è bloccato. In questi casi, una configurazione più restrittiva può fare la differenza fino all’arrivo di un aggiornamento correttivo.
