Ευπάθεια στο WhatsApp για Android φέρεται να αποκαλύπτει φωτογραφίες σε κλειδωμένη συσκευή

Σύμφωνα με ρεπορτάζ του Notebookcheck, εντοπίστηκε ευπάθεια στην εφαρμογή WhatsApp για Android που φέρεται να επιτρέπει πρόσβαση σε προσωπικές φωτογραφίες χωρίς να έχει προηγηθεί ξεκλείδωμα της συσκευής. Πρόκειται για ισχυρισμό μίας πηγής, χωρίς ανεξάρτητη επιβεβαίωση από άλλους ερευνητές ασφαλείας, τεχνολογικά μέσα ή επίσημη ανακοίνωση από τη Meta ή τη Google μέχρι στιγμής.

Τι περιγράφει η αναφορά

Σύμφωνα με το Notebookcheck, το ζήτημα δεν αφορά απομακρυσμένη επίθεση μέσω διαδικτύου. Απαιτείται φυσική πρόσβαση στο κλειδωμένο τηλέφωνο. Το σενάριο που περιγράφεται ξεκινά με μια εισερχόμενη βιντεοκλήση στο WhatsApp, την οποία κάποιος με πρόσβαση στη συσκευή μπορεί να απαντήσει από την οθόνη κλειδώματος, όπως προβλέπεται κανονικά για εισερχόμενες κλήσεις. Το πρόβλημα, σύμφωνα με την αναφορά, εντοπίζεται στη συνέχεια: μέσα από το εργαλείο εφέ της βιντεοκλήσης, μια λειτουργία αλλαγής φόντου που ενσωματώνει το Meta AI φέρεται να δίνει πρόσβαση στην πλήρη γκαλερί φωτογραφιών της συσκευής, παρακάμπτοντας το κλείδωμα οθόνης. Δεν αναδημοσιεύουμε το ακριβές σύνολο ενεργειών που περιγράφει η πηγή, καθώς αφορά αναπαραγώγιμο βήμα-βήμα εκμετάλλευσης ευπάθειας.

Ασυνεπής συμπεριφορά ανά κατασκευαστή

Το Notebookcheck αναφέρει ότι δοκίμασε το σενάριο σε τρεις συσκευές. Σε Pixel 6 Pro με Android 17 και την πιο πρόσφατη ενημέρωση ασφαλείας, η πρόσβαση στη γκαλερί φέρεται να ήταν πλήρης και χωρίς κανέναν έλεγχο ταυτότητας. Σε Oppo K13 με ColorOS 16 η παράκαμψη φέρεται επίσης να λειτούργησε. Αντίθετα, σε Samsung Galaxy S25 Ultra με One UI 8.5, το πάτημα του σχετικού κουμπιού Meta AI φέρεται να οδηγούσε αμέσως τον χρήστη πίσω στην οθόνη κλειδώματος, ζητώντας κωδικό ή βιομετρικό στοιχείο. Το σημείο που τονίζει η αναφορά είναι ότι Samsung και Oppo τρέχουν και οι δύο βάση Android 16, κάτι που υποδεικνύει πως η διαφορά προέρχεται από τον τρόπο που κάθε κατασκευαστής έχει υλοποιήσει τους δικούς του περιορισμούς στην οθόνη κλειδώματος, όχι από το ίδιο το λειτουργικό σύστημα.

Γιατί το iOS φέρεται να μην επηρεάζεται

Σύμφωνα με το Notebookcheck, στο iOS το αντίστοιχο σενάριο δεν εφαρμόζεται. Όταν ένα κλειδωμένο iPhone δέχεται κλήση μέσω WhatsApp, το πλαίσιο CallKit της Apple αναλαμβάνει και εμφανίζει τη δική του, εγγενή οθόνη κλήσης αντί για την προσαρμοσμένη διεπαφή του WhatsApp. Αυτό φέρεται να μπλοκάρει εντελώς την πρόσβαση στο εργαλείο αλλαγής φόντου που εμπλέκεται στο σενάριο παράκαμψης, με αποτέλεσμα ο χρήστης να παραμένει υποχρεωμένος να ξεκλειδώσει κανονικά τη συσκευή για να δει τη γκαλερί του.

Κατάσταση επιβεβαίωσης και επιφυλάξεις

Η αναφορά αποδίδεται σε ερευνητή ασφαλείας με το όνομα Jose Rodriguez, μέσω δημοσίευσης στο X, όμως δεν υπάρχει επιβεβαίωση ότι πρόκειται για τον ίδιο ερευνητή που έχει αναφέρει παρόμοιες ευπάθειες Android στο παρελθόν. Το Notebookcheck αναφέρει πως το ζήτημα «έχει ήδη αναφερθεί τόσο στη Meta όσο και στη Google», χωρίς ωστόσο να παραθέτει επίσημη απάντηση, χρονοδιάγραμμα ή τεκμηρίωση της αναφοράς αυτής. Καμία από τις δύο εταιρείες δεν έχει εκδώσει μέχρι στιγμής δημόσια δήλωση σχετικά με το θέμα. Δεν εντοπίστηκε ανεξάρτητη επιβεβαίωση των ισχυρισμών από άλλα μέσα ή ερευνητές ασφαλείας, οπότε η είδηση παραμένει σε επίπεδο μη επιβεβαιωμένης αναφοράς μίας πηγής.

Για χρήστες Android που ανησυχούν, η πρακτική σύσταση μέχρι να υπάρξει επίσημη απάντηση είναι να αποφεύγουν να αφήνουν το τηλέφωνο απρόσεκτο σε τρίτους και να παρακολουθούν για ενημερώσεις ασφαλείας από τη Meta ή τον κατασκευαστή της συσκευής τους.

Πηγές

• notebookcheck.net
• Notebookcheck: αναφορά ερευνητή ασφαλείας μέσω X