Una falla in WhatsApp per Android espone le foto private archiviate sul telefono prima ancora che il dispositivo venga sbloccato. Il problema è stato scoperto dal ricercatore @VBarraquito e confermato da NotebookCheck e Mobile Hacker: sfrutta il flusso delle chiamate in arrivo e il pannello degli effetti video di Meta.
Il meccanismo è semplice. Quando arriva una chiamata WhatsApp e viene risposta (cosa che non richiede lo sblocco del telefono, esattamente come una chiamata tradizionale), l’interfaccia di chiamata offre un pulsante per attivare filtri ed effetti sul video in diretta, compresa la funzione AI di Meta per modificare una foto. A questo punto, invece di richiedere il PIN o il biometrico, il sistema mostra l’anteprima delle foto della galleria. Il blocco schermo viene bypassato per accedere ai contenuti visivi.
Il test su diversi dispositivi ha dato risultati non uniformi: un Galaxy Samsung ha forzato lo sblocco prima di mostrare le foto, mentre Pixel e Oppo hanno permesso il bypass completo. Su iPhone il problema non esiste, perché WhatsApp è costretto a usare l’interfaccia nativa di chiamata iOS.
La buona notizia è che il bypass non apre l’intero telefono: le altre funzioni restano bloccate. La parte più delicata è che un malintenzionato potrebbe fotografare le immagini esposte con un secondo telefono. La falla non sembra permettere il prelievo dei file, ma la visibilità non richiesta è già di per sé un problema di privacy serio.
Cosa cambia davvero
Per l’utente Android medio non cambia la sicurezza del telefono bloccato in sé (resta inaccessibile), ma cambia l’assunzione che “telefono bloccato = foto al sicuro”. In particolare per chi usa WhatsApp per scambiare immagini sensibili o ha in galleria contenuti che preferirebbe non fossero visibili a terzi che potrebbero prendere fisicamente il telefono durante una chiamata.
La situazione è più critica per chi usa Pixel o Oppo, dove il bypass è completo. Su Galaxy il problema non si presenta. Il vero rischio operativo è durante l’uso in contesti pubblici o condivisi: una chiamata in arrivo risposta distrattamente potrebbe esporre la galleria a chi ha il telefono in mano o lo guarda da vicino.
WhatsApp non ha ancora rilasciato una correzione, anche se la falla è stata segnalata sia a Meta sia a Google. Nel frattempo esiste una soluzione temporanea efficace.
Come proteggersi subito
Impostare l’accesso di WhatsApp a foto e video su “Limitato” nelle autorizzazioni di Android. In questo modo WhatsApp non può più sfogliare la galleria completa e il loophole smette di funzionare. Per farlo:
- Apri Impostazioni > App > WhatsApp
- Tocca Autorizzazioni > Foto e video
- Seleziona Limitato invece di “Tutti” o “Consenti tutto”
Questa scelta limita WhatsApp alla sola foto che scegli di condividere in quel momento, senza accesso all’intera galleria. È una buona pratica di privacy che vale anche indipendentemente da questa falla.
Se preferisci non limitare le autorizzazioni in attesa della correzione, un’altra opzione è disattivare l’anteprima delle notifiche WhatsApp nella schermata di blocco: riduce il rischio che un contatto visibile attiri l’attenzione sul telefono.
In breve
- WhatsApp espone le foto della galleria prima dello sblocco durante una chiamata con effetti video.
- Il bypass funziona su Pixel e Oppo, non su Galaxy. iPhone non è vulnerabile.
- Nessuna correzione ancora disponibile: la falla è stata segnalata sia a Meta sia a Google.
- Soluzione immediata: impostare l’autorizzazione Foto su “Limitato” nelle impostazioni Android.
Fonti
- 9to5Google: WhatsApp for Android loophole lets private photos be accessed without unlocking (2026-09-02)
Segnalata originariamente da @VBarraquito, confermata da NotebookCheck e Mobile Hacker.