Un nuevo fallo de seguridad en la versión de WhatsApp para Android ha puesto en jaque la privacidad de los usuarios. Según ha revelado el investigador de seguridad José Rodríguez, es posible acceder a las fotografías almacenadas en el teléfono sin necesidad de desbloquearlo, siempre que se reciba una videollamada en ese momento. El experto ha compartido un vídeo en X donde demuestra el procedimiento, y asegura que ya ha notificado el problema tanto a Meta como a Google.
La vulnerabilidad no permite un acceso remoto ni afecta a cualquier usuario de forma indiscriminada. Para que el fallo se active, la persona debe tener físicamente el móvil bloqueado en sus manos y recibir una videollamada a través de WhatsApp. El problema radica en que es posible responder a la llamada sin desbloquear el terminal y, desde la propia interfaz de la aplicación, llegar hasta una función que tiene acceso directo a las imágenes almacenadas.
Así se explota el fallo de WhatsApp
El método mostrado por Rodríguez es sorprendentemente sencillo. No requiere instalar aplicaciones adicionales, usar herramientas externas ni tener conocimientos técnicos avanzados. Tras responder a la videollamada con el teléfono bloqueado, hay que pulsar el icono de efectos y acceder a la pestaña de fondos. Dentro de este menú aparece la opción ‘Crear con Meta AI’, que permite generar una imagen nueva o editar una fotografía existente.
Al seleccionar la opción de editar una foto existente, los móviles afectados abren directamente la galería sin solicitar el PIN, la contraseña, la huella dactilar o el reconocimiento facial. De esta forma, cualquier persona que tenga el dispositivo en sus manos puede consultar las fotografías aunque el teléfono continúe bloqueado. El investigador ha querido dejar claro que no se trata de un hack ni de una función oculta, sino de un fallo que está a la vista de todos y que ya ha sido reportado a las empresas responsables.
Qué dispositivos están afectados
Las pruebas realizadas por el medio especializado Notebookcheck han confirmado que el problema no afecta a todos los móviles Android. El equipo consiguió reproducir el fallo en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad disponible, donde pudieron navegar por las imágenes sin superar ninguna comprobación de seguridad. También lograron acceder a la galería en un Oppo K13 con ColorOS 16.
Sin embargo, el mismo procedimiento no funcionó en un Samsung Galaxy S25 Ultra con Android 16 y One UI 8.5. Al intentar acceder a Meta AI desde la videollamada, el teléfono volvió a mostrar la pantalla de bloqueo y exigió introducir el código o utilizar la identificación biométrica. Este comportamiento diferente entre dispositivos que usan la misma versión de Android sugiere que la vulnerabilidad depende también de cómo cada fabricante gestiona los permisos disponibles desde la pantalla de bloqueo.
Los iPhone tampoco están afectados gracias a CallKit, el sistema que utiliza iOS para gestionar las llamadas de aplicaciones como WhatsApp. Cuando el teléfono está bloqueado, CallKit muestra la interfaz de llamada nativa de Apple en lugar de permitir el acceso completo a la interfaz de WhatsApp. Esto impide llegar hasta la herramienta de fondos y obliga a desbloquear el dispositivo antes de acceder a la galería.
Recomendaciones para proteger tus fotos
Mientras Meta y Google trabajan en una solución definitiva, los expertos recomiendan extremar las precauciones. La medida más efectiva es no responder a videollamadas de WhatsApp cuando el teléfono esté bloqueado, especialmente si no se reconoce al interlocutor. También conviene revisar los ajustes de seguridad de WhatsApp y desactivar la opción de mostrar notificaciones con contenido sensible en la pantalla de bloqueo.
Otra alternativa es utilizar aplicaciones de terceros que bloqueen el acceso a la galería desde la pantalla de bloqueo, aunque esta solución no es infalible. Lo más sensato es esperar a que WhatsApp publique una actualización que corrija este fallo y mantener el sistema operativo siempre actualizado. Mientras tanto, los usuarios deben ser conscientes de que sus fotografías podrían estar expuestas si alguien tiene acceso físico a su teléfono durante una videollamada.
Este incidente pone de manifiesto la importancia de que las aplicaciones de mensajería revisen periódicamente sus protocolos de seguridad, especialmente en lo que respecta a la interacción con la pantalla de bloqueo. La privacidad de los usuarios depende de que estos fallos se detecten y corrijan a tiempo, y la rápida divulgación por parte de investigadores independientes es clave para lograrlo.
La vulnerabilidad afecta a una parte de los dispositivos Android, pero no a todos, y los iPhone están a salvo gracias a su sistema de gestión de llamadas. Mientras se espera una solución oficial, lo más prudente es no contestar videollamadas con el móvil bloqueado y mantener las aplicaciones actualizadas para reducir el riesgo de exposición de las fotografías personales.
Continúar leyendo...