• Súlyos biztonsági hiba teszi lehetővé WhatsAppon a zárolt androidos készülékek fotógalériájának elérését
• A rés kihasználásához elég egy videóhívást fogadni és a Meta AI menüben a fotószerkesztést indítani
• A hiba kizárólag bizonyos androidos modelleken működik, iPhone-ok nem érintettek
• A Samsung, a Motorola és a Tecno néhány friss modellje a tesztek szerint védett a támadás ellen
• Az engedélyek korlátozása vagy a kamera-hozzáférés megvonása azonnali védelmet ad

Súlyos biztonsági rést fedeztek fel a világ legnépszerűbb üzenetküldő alkalmazásának androidos változatában, amely lehetővé teszi, hogy illetéktelenek a képernyőzár feloldása nélkül hozzáférjenek a felhasználók teljes privát fotógalériájához. A sérülékenység közvetlenül a WhatsApp beépített kamerás és mesterségesintelligencia-funkcióihoz kapcsolódik, és bár kihasználásához fizikai hozzáférésre van szükség az adott okostelefonhoz, a rés létezése komoly adatvédelmi aggályokat vet fel a mindennapi használat során.

Mely készülékek érintettek, és miért maradnak ki az iPhone-ok?

A sérülékenység működési mechanizmusát Jose Rodriguez biztonsági kutató tárta fel és demonstrálta a nyilvánosság előtt. A folyamat meglepően egyszerű, és semmilyen bonyolult hackereszközt vagy külső kártékony szoftvert nem kíván. Amennyiben egy androidos okostelefonra beérkező WhatsApp videóhívás érkezik miközben a képernyő zárva van, a hívás fogadásához elegendő felfelé húzni a kijelzőt. Ezt követően a jobb alsó sarokban található effektek ikonra koppintva megnyílik egy menü, amely a szűrők, effektek és hátterek fület tartalmazza. Ha a támadó itt a „Create with Meta AI” (Létrehozás Meta AI-val) gombra nyom, majd kiválasztja az „Edit photo” (Fotó szerkesztése) opciót, a rendszer azonnal megnyitja a készülék teljes fotógalériáját – teljesen megkerülve a PIN-kódot, a jelszót vagy a biometrikus képernyőzárat.

A felfedezést követő tesztelések alapján a biztonsági hiba nem univerzálisan jelentkezik minden egyes androidos okostelefonon, ami arra utal, hogy a probléma nem kizárólag az Android operációs rendszer törzskódjában, hanem az egyes gyártók egyedi szoftveres felületeiben és jogosultságkezelésében gyökerezik. A MakeUseOf beszámolója szerint a hiba igazolhatóan működött például egy ColorOS 16-ot futtató Oppo K13 modellen, valamint egy Android 17 rendszert használó Google Pixel 6 készüléken is.

Ez is érdekelheti

Ezzel szemben több népszerű zászlóshajó teljesen immunisnak bizonyult a támadási kísérlettel szemben. A tesztek során a One UI 8.5 felületet és Android 16-ot futtató Samsung Galaxy S25 Ultra esetében lehetetlennek bizonyult a galéria feltörése a zárolt képernyőn keresztül. Hasonlóképpen védettnek találták a Motorola Razr Fold, a Tecno Pova 6, valamint a Samsung Z Fold 8 készülékeket is, ahol a rendszer nem engedélyezte a privát állományok elérését a hívás felülete alól.

Az Apple iOS rendszerét használó iPhone-tulajdonosok teljesen biztonságban vannak ezzel a specifikus hibával szemben. Az iOS ugyanis a CallKit elnevezésű rendszerszintű keretrendszert alkalmazza a VoIP (Voice over IP – internetes) hívások kezelésére. Ez a megoldás az összes harmadik féltől származó üzenetküldő alkalmazást az iOS saját, natív híváskezelő felületére tereli át, amely szigorúan elhatárolja a hívási funkciókat a telefon belső tárhelyétől és galériájától, így a képernyőzár feloldása nélkül fizikailag lehetetlen hozzáférni a fotókhoz.

Így védekezhet a fotói kiszivárgása ellen

Bár a biztonsági rést már hivatalosan is jelentették a Metának és a Google-nek, a cikk megjelenéséig sem a Google, sem a nagyobb androidos gyártók nem adtak ki hivatalos javítást vagy nyilatkozatot a sérülékenységgel kapcsolatban. Szerencsére a felhasználóknak nem kell megvárniuk a hivatalos szoftverfrissítést, ugyanis a védelmi rés megelőzése néhány egyszerű beállítással azonnal kivitelezhető az Android rendszeren belül.

A leghatékonyabb védekezési módszer a WhatsApp alkalmazási engedélyeinek felülvizsgálata és szigorítása. Ehhez nyissa meg a telefon Beállítások (Settings) menüpontját, lépjen az Alkalmazások (Apps) opcióra, majd keresse meg a listában a WhatsAppot. Az Engedélyek (Permissions) almenüben ellenőrizze a tárhelyre és a fotókra vonatkozó jogosultságokat: győződjön meg róla, hogy a „Mindig engedélyezve” (Always allow all) opció nincs kiválasztva. Helyette válassza a korlátozott hozzáférést (Allow Limited Access) vagy a hozzáférés teljes megtiltását (Don't allow).

Azok a felhasználók, akik maximális biztonságra törekednek, akár teljesen letilthatják a bejövő videóhívások lehetőségét is azáltal, hogy megvonják a WhatsApp-tól a kamera használatának jogát. Amíg a Meta nem foltozza be a Meta AI funkció és a zárolt képernyő közötti logikai rést, az engedélyek visszavonása jelenti az egyetlen biztos védelmet a privát felvételei védelmében.