Masz WhatsAppa na Androidzie? Twoje prywatne zdjęcia mogą zobaczyć wszyscy!

Prywatność naszych danych to fundament bezpieczeństwa w nowoczesnych smartfonach, jednak nowo wykryta luka w aplikacji WhatsApp udowadnia, że absolutne bezpieczeństwo bywa iluzją. Zwykłe połączenie wideo wystarczy, aby osoba mająca fizyczny dostęp do zablokowanego telefonu z systemem Android uzyskała wgląd w całą naszą galerię zdjęć. Problem dotyczy milionów urządzeń i nie wymaga przy tym posiadania żadnej specjalistycznej wiedzy hakerskiej.

Prosty schemat obejścia zabezpieczeń ekranu blokady

Mechanizm, który pozwala ominąć autoryzację biometriczną lub kod PIN, wykorzystuje standardowe funkcje interfejsu WhatsApp, przeznaczone do personalizacji wideo. Do przeprowadzenia ataku nie są potrzebne skomplikowane skrypty ani zewnętrzny sprzęt — wystarczy sekwencja kilku kliknięć po odebraniu połączenia.

Gdy na zablokowany smartfon przychodzi połączenie wideo, wystarczy odebrać je gestem na ekranie. Następnie intruz musi otworzyć menu efektów graficznych i przejść do zakładki tła. W tym miejscu znajduje się przycisk „Utwórz za pomocą Meta AI”, który oferuje opcję edycji istniejących multimediów. Wybranie funkcji edycji zdjęcia natychmiastowo przełamuje standardowe zabezpieczenia systemu Android i otwiera pełny widok lokalnej galerii zdjęć użytkownika, pomijając jakąkolwiek weryfikację tożsamości. Testy przeprowadzone na Google Pixel 6 Pro z aktualnymi łatkami bezpieczeństwa, potwierdziły bezproblemowe działanie tego błędu.

Architektura systemu a fragmentacja Androida

Analiza problemu wskazuje, że podatność nie występuje na każdym smartfonie z systemem od Google. Wynika to bezpośrednio ze sposobu, w jaki poszczególni producenci modyfikują oprogramowanie układowe i zarządzają uprawnieniami aplikacji na ekranie blokady.

Jak poszczególne systemy reagują na próbę uzyskania dostępu:

• Czysty Android oraz wybrane nakładki: Urządzenia takie jak Google Pixel czy wybrane modele marek powiązanych z ColorOS pozwalają na bezproblemowe otwarcie galerii bez konieczności podawania kodu.
• Samsung One UI: W przypadku smartfonów z serii Galaxy system operacyjny wykrywa próbę odwołania się do zasobów prywatnych i natychmiast wymusza odblokowanie ekranu za pomocą biometrii lub PIN-u.
• Apple iOS: Problem w ogóle nie występuje na iPhone’ach dzięki architekturze systemowej CallKit, która zastępuje interfejs WhatsAppa natywnym ekranem połączeń i blokuje dostęp do funkcji edycji tła przed autoryzacją.

Reakcja twórców i rekomendacje dla użytkowników

Wykryty błąd został już oficjalnie zgłoszony zespołom odpowiedzialnym za rozwój Meta oraz Google, co oznacza, że prace nad stosowną poprawką bezpieczeństwa już trwają. Zanim jednak odpowiednia aktualizacja trafi do wszystkich użytkowników, warto zachować szczególną ostrożność i nie pozostawiać odblokowanego lub łatwo dostępnego smartfona w miejscach publicznych.

Luka w WhatsApp pokazuje, jak łatwo integracja nowych funkcji opartych na sztucznej inteligencji może wpłynąć na podstawowe mechanizmy bezpieczeństwa systemu operacyjnego. Brak spójnych standardów obsługi ekranu blokady u różnych producentów sprzętu z Androidem stwarza luki, które mogą posłużyć do naruszenia naszej prywatności. Oczekujemy, że nadchodzące łatki oprogramowania definitywnie wyeliminują ten incydent.