Una vulnerabilidad detectada en WhatsApp para Android permite acceder a las fotos guardadas en determinados móviles, incluso cuando están bloqueados. Este fallo ha sido descubierto por el investigador de seguridad José Rodríguez y, acorde a la información compartida en la red social X (antes Twitter), no permite que un atacante acceda de forma remota a las imágenes de cualquier usuario de WhatsApp, ya que es necesario que la persona tenga físicamente el móvil bloqueado en sus manos para que esta reciba una videollamada a través de la aplicación.
Concretamente, el problema está en que WhatsApp permite contestar a una videollamada desde la pantalla de bloqueo, por lo tanto, si el usuario la acepta, desde la propia interfaz de la app se puede llegar a una función que tiene acceso a las imágenes almacenadas.
El método mostrado por Rodríguez es bastante sencillo y no requiere instalar ninguna aplicación externa porque, después de contestar a la videollamada con el teléfono bloqueado, basta con pulsar el icono de efectos y entrar en la sección de fondos.
Una vez dentro, aparece la opción ‘Crear con Meta AI’, desde la que es posible generar una imagen y modificar una fotografía almacenada en el dispositivo. Por lo tanto, al elegir esta última opción mencionada, los dispositivos afectados acceden directamente a la galería sin pedir el PIN, la contraseña ni ningún método de identificación biométrica, como la huella dactilar o el reconocimiento facial. De este modo, cualquiera que tenga el teléfono en sus manos podría consultar las fotografías almacenadas aunque el dispositivo permanezca bloqueado.
Las comprobaciones realizadas por el diario Notebookcheck muestran que el fallo no afecta por igual a todos los teléfonos Android. El medio consiguió reproducirlo en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad, donde pudo acceder a las fotografías y desplazarse por la galería sin que el sistema solicitara ninguna verificación.
Sin embargo, el mismo método no funcionó en un Samsung Galaxy S25 Ultra con Android 16 y One UI 8.5. En este caso, al intentar abrir Meta AI desde la videollamada, el dispositivo regresó a la pantalla de bloqueo y pidió introducir el código de acceso o utilizar la identificación biométrica. Por lo tanto, el hecho de que el móvil de Google y el Samsung utilicen Android 16 y reaccionen de manera diferente sugiere que el alcance del problema depende de cómo cada fabricante gestiona los permisos y funciones disponibles cuando el teléfono está bloqueado.
Ante este escenario, Rodríguez afirma que ya ha comunicado el problema tanto a Meta como a Google, según recoge Notebookcheck.