WhatsApp Corrige un Fallo en Android que Permitía Ver Fotos con el Móvil Bloqueado

WhatsApp ha comenzado a distribuir una corrección para un fallo de privacidad que permite acceder a la galería de algunos teléfonos Android sin superar previamente el bloqueo de pantalla. El problema puede exponer miniaturas de fotografías privadas cuando otra persona tiene acceso físico al dispositivo.

El investigador de seguridad Jose Rodriguez hizo público el comportamiento después de haberlo comunicado a Meta y Google. WhatsApp confirmó posteriormente que estaba desplegando una solución y describió el problema como un caso poco frecuente que requiere que otra persona tenga físicamente el teléfono de la víctima.

El fallo aprovecha una videollamada con el teléfono bloqueado

El problema aparece al interactuar con determinadas funciones de una videollamada de WhatsApp mientras el dispositivo continúa bloqueado. Desde la interfaz de efectos visuales existe una ruta hacia funciones que utilizan fotografías almacenadas localmente y, en algunos teléfonos, Android no vuelve a solicitar el PIN, contraseña o autenticación biométrica antes de mostrar la galería.

Esto no permite a un atacante acceder remotamente a las fotografías simplemente realizando una llamada. Para aprovechar el fallo necesita tener el dispositivo bloqueado en sus manos y poder interactuar físicamente con él durante la videollamada.

Las pruebas recogidas por Golem indican además que desde esta vista es posible recorrer miniaturas de fotografías, pero no abrir o enviar directamente los archivos individuales. Aun así, una persona con acceso al teléfono podría observar información privada e incluso registrar esas miniaturas utilizando otro dispositivo.

No todos los móviles Android están afectados

El comportamiento varía según el fabricante y la implementación de Android. Notebookcheck consiguió reproducirlo en un Google Pixel 6 Pro con Android 17 y en un Oppo K13, mientras que un Samsung Galaxy S25 Ultra bloqueó correctamente el acceso y exigió desbloquear el dispositivo.

Esto indica que el problema no afecta de la misma forma a todos los teléfonos Android. Las diferencias entre las capas de software de los fabricantes y la forma en que gestionan el acceso a contenido desde la pantalla bloqueada parecen influir en si el fallo puede reproducirse.

En iPhone no se ha observado el mismo comportamiento. iOS utiliza CallKit para mostrar la interfaz del sistema durante las llamadas recibidas con el dispositivo bloqueado, lo que impide acceder de la misma manera al selector de fotografías.

WhatsApp ya está distribuyendo un parche

WhatsApp aseguró que ha comenzado a desplegar una solución, aunque no ha especificado qué versión concreta incorpora el parche ni cuándo llegará a todos los dispositivos. Por ello, los usuarios de Android deberían instalar las próximas actualizaciones de WhatsApp en cuanto estén disponibles.

Como medida adicional mientras se completa el despliegue, es posible revisar desde los ajustes de Android qué permisos tiene WhatsApp para acceder a fotografías y vídeos y limitar ese acceso cuando el sistema lo permita.

No se ha publicado un identificador CVE para este problema ni existen indicios de que pueda utilizarse como un ataque remoto. Su alcance es considerablemente más limitado que el de una vulnerabilidad explotable a distancia, pero supone un riesgo de privacidad precisamente en situaciones en las que otra persona consigue acceso temporal a un teléfono que debería permanecer protegido por su pantalla de bloqueo.