Šta se desilo?

Otkriven je bezbednosni propust u WhatsApp aplikaciji koji na pojedinim Android uređajima omogućava pristup fotografijama dok je telefon i dalje zaključan.

Osoba koja ima fizički pristup telefonu može da odgovori na dolazni WhatsApp video poziv, otvori opcije za video efekte i preko Meta AI funkcije za uređivanje fotografija pristupi galeriji bez unosa PIN-a, lozinke ili biometrijske autentifikacije.

Propust ne omogućava potpuno otključavanje telefona, ali na pogođenim uređajima može omogućiti pregled fotografija koje bi trebalo da budu zaštićene zaključanim ekranom.

Koga pogađa?

Problem za sada nije potvrđen na svim Android uređajima. Testiranjem je uspešno reprodukovan na Google Pixel 6 Pro i Oppo K13 telefonima, dok je Samsung Galaxy S25 Ultra zahtevao PIN ili biometrijsku autentifikaciju pre pristupa fotografijama.

Za iskorišćavanje propusta napadač mora imati fizički pristup zaključanom telefonu i mogućnost da odgovori na dolazni WhatsApp video poziv. Zbog toga je rizik posebno značajan u situacijama kada druga osoba može privremeno doći do tuđeg uređaja.

Prema dosadašnjim testovima, iPhone uređaji nisu pogođeni istim problemom zbog drugačijeg načina na koji iOS upravlja dolaznim pozivima aplikacija.

Kako se zaštititi?

  • U Android podešavanjima ograničite WhatsApp pristup fotografijama i video zapisima na „Ograničen pristup“ umesto dozvole za pristup celoj galeriji.
  • Ne ostavljajte zaključan telefon bez nadzora na mestu gde mu druge osobe mogu fizički pristupiti.
  • Redovno ažurirajte WhatsApp i Android sistem kako biste dobili bezbednosnu ispravku čim postane dostupna.
  • Proverite dozvole koje WhatsApp i druge aplikacije imaju za pristup fotografijama, kameri i drugim osetljivim sadržajima.
  • Ako koristite uređaj za čuvanje posebno osetljivih fotografija ili dokumenata, razmotrite njihovo čuvanje u dodatno zaštićenom folderu ili sigurnom prostoru koji nudi proizvođač telefona.

Tehnički detalji

Problem je javno demonstrirao bezbednosni istraživač Jose Rodriguez. Napad počinje dolaznim WhatsApp video pozivom na zaključanom telefonu. Nakon odgovaranja na poziv moguće je otvoriti meni sa efektima, izabrati pozadine i zatim Meta AI opciju za uređivanje postojeće fotografije.

Na pogođenim uređajima ova funkcija otvara galeriju fotografija bez prethodnog zahteva za otključavanje telefona.

Nezavisno testiranje potvrdilo je ponašanje na Google Pixel 6 Pro sa Androidom 17 i Oppo K13 sa ColorOS 16. Na Samsung Galaxy S25 Ultra sa One UI 8.5 isti postupak nije uspeo, jer je uređaj zahtevao autentifikaciju pre pristupa galeriji.

Različito ponašanje između proizvođača ukazuje da problem može biti povezan sa kombinacijom WhatsApp funkcionalnosti i načina na koji pojedine Android implementacije upravljaju dozvolama i sadržajem dostupnim preko zaključanog ekrana.

Problem je prijavljen kompanijama Meta i Google. U trenutku objavljivanja nije potvrđena zvanična zakrpa niti kompletna lista pogođenih uređaja.

Zašto je važno za region?

WhatsApp je široko korišćen za privatnu i poslovnu komunikaciju i u Srbiji i regionu, dok Android telefoni čine veliki deo mobilnih uređaja u upotrebi.

Ovaj slučaj pokazuje da zaključan ekran sam po sebi nije uvek dovoljna zaštita ako aplikacija preko funkcija dostupnih pre autentifikacije može da pristupi osetljivom sadržaju. Poseban rizik postoji kada se na telefonu čuvaju fotografije ličnih dokumenata, poslovnih informacija ili drugih privatnih sadržaja.

Preporuka Sajber Radara

Dok ne bude dostupna zvanična ispravka, ograničite WhatsApp pristup fotografijama na „Ograničen pristup“ umesto dozvole za pristup celoj galeriji. Redovno ažurirajte WhatsApp i Android sistem i ne ostavljajte telefon bez nadzora na mestu gde mu druge osobe mogu fizički pristupiti.