Una vulnerabilidad detectada en la versión de WhatsApp para Android podría exponer las fotografías almacenadas en ciertos teléfonos, incluso cuando el dispositivo se encuentra bloqueado. El fallo, identificado por el investigador de seguridad José Rodríguez, requiere que una persona tenga acceso físico al celular y logre contestar una videollamada desde la pantalla de bloqueo. No se trata de un método de acceso remoto, por lo que no cualquier usuario de WhatsApp está en riesgo.
El problema surge de una combinación de funciones disponibles durante una videollamada y el acceso a la galería desde una herramienta integrada en WhatsApp. Según las pruebas realizadas, una persona podría visualizar las imágenes almacenadas sin necesidad de introducir el PIN, la contraseña o usar métodos biométricos como la huella dactilar o el reconocimiento facial.
El alcance de la vulnerabilidad no es uniforme en todos los dispositivos Android. Las primeras comprobaciones indican que el comportamiento depende, al menos en parte, de cómo cada fabricante gestiona los permisos y las funciones que pueden utilizarse mientras el teléfono permanece bloqueado.
El fallo comienza con una videollamada de WhatsApp
Para aprovechar esta vulnerabilidad, el atacante debe tener el teléfono físicamente en sus manos. El dispositivo debe estar bloqueado y el propietario debe recibir una videollamada a través de WhatsApp. La aplicación permite responder a determinadas videollamadas desde la pantalla de bloqueo. Una vez aceptada la llamada, la persona que sostiene el móvil puede interactuar con algunas funciones de la interfaz de WhatsApp.
El método mostrado por José Rodríguez no requiere instalar aplicaciones externas ni modificar el sistema operativo. Después de responder la videollamada, basta con tocar el icono de efectos y entrar en la sección destinada a los fondos. Desde allí aparece una opción llamada “Crear con Meta AI”, que permite usar herramientas de inteligencia artificial para generar imágenes o trabajar con fotografías almacenadas en el dispositivo.
El problema se presenta al seleccionar la función relacionada con la modificación de una imagen existente. Según la demostración, algunos teléfonos permiten acceder directamente a la galería desde este punto sin solicitar ningún método adicional de desbloqueo.
La galería podría abrirse sin pedir PIN ni huella
La consecuencia potencial del fallo es que una persona con acceso físico al teléfono podría consultar las imágenes almacenadas aunque el dispositivo continúe bloqueado. Normalmente, la pantalla de bloqueo actúa como una barrera para impedir que otras personas accedan a la información privada del usuario. Algunas funciones, como responder llamadas o consultar notificaciones, pueden utilizarse sin desbloquear completamente el dispositivo, pero el acceso a contenidos personales debería requerir una verificación adicional.
En este caso, la combinación de las funciones de WhatsApp y los permisos del sistema podría permitir superar esa barrera en determinados modelos. Esto no significa que cualquier usuario de WhatsApp esté expuesto a un ataque remoto. El supuesto atacante necesita tener físicamente el móvil y aprovechar una situación concreta: recibir una videollamada, responderla desde la pantalla bloqueada y acceder posteriormente a las herramientas disponibles durante la llamada. Aun así, el descubrimiento resulta relevante porque las fotografías pueden contener información privada, documentos personales o imágenes que los usuarios no esperan que sean accesibles desde un teléfono bloqueado.
El problema no afecta por igual a todos los móviles Android
Las comprobaciones realizadas por Notebookcheck muestran que la vulnerabilidad no se reproduce necesariamente en todos los dispositivos. El medio consiguió replicar el acceso a la galería en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad instalado. En ese teléfono fue posible abrir las fotografías y desplazarse por la galería sin que el sistema solicitara introducir el código de desbloqueo.
El resultado fue diferente en un Samsung Galaxy S25 Ultra con Android 16 y One UI 8.5. Al intentar utilizar la misma función desde la videollamada, el sistema regresó a la pantalla de bloqueo y solicitó el código de acceso o una verificación biométrica antes de continuar.
Esta diferencia apunta a que el fallo podría depender de la implementación realizada por cada fabricante. Aunque los dispositivos utilicen Android, las capas de personalización y las medidas de seguridad aplicadas pueden determinar qué permisos están disponibles cuando el teléfono permanece bloqueado.
Fuente: Infobae