Stačí přijmout videohovor z aplikace WhatsApp na uzamčeném telefonu s Androidem a kdokoli, kdo má zařízení v ruce, může procházet všechny uložené fotografie, aniž by musel překonat jakoukoli bezpečnostní kontrolu. To prokázal výzkumník José Rodríguez, který v úterý na sociální síti X sdílel podrobné video s potřebnými kroky a potvrdil, že na tuto chybu upozornil jak společnost Meta, tak Google, jak uvádí server Notebookcheck.
Fyzický přístup, nikoli vzdálený
Odborníci na kyberbezpečnost zdůrazňují, že tuto zranitelnost nelze zneužít na dálku. Aby ji útočník mohl využít, musí mít fyzicky v ruce uzamčený telefon a přesně v ten okamžik musí přijít videohovor přes WhatsApp. Chyba spočívá v tom, že aplikace umožňuje přijmout hovor bez odemknutí zařízení a z jejího vlastního rozhraní přejít na funkci, která umožňuje přímý přístup k uloženým obrázkům.
Nejpozoruhodnější je jednoduchost této metody: není třeba instalovat žádný další program, používat specializované nástroje ani mít pokročilé technické znalosti. Rodríguez ve svém videu ukazuje, jak po přijetí videohovoru se stále uzamčeným telefonem stačí klepnout na ikonu efektů, přejít na záložku pozadí a vybrat možnost „Vytvořit s Meta AI“. Tato funkce umožňuje jak vytvořit nový obrázek, tak i upravit fotografii, která již v zařízení existuje.
Při volbě úpravy stávající fotografie zranitelná zařízení zobrazují celou galerii, aniž by vyžadovala zadání PIN kódu, hesla, otisku prstu či rozpoznání obličeje. Kdokoli, kdo má telefon v rukou, může procházet obrázky, i když je zařízení formálně stále uzamčené.
Ne všechna zařízení s Androidem se chovají stejně
Nezávislá testování provedená serverem Notebookcheck potvrzují, že tato zranitelnost se netýká všech zařízení s Androidem. Redakci se podařilo chybu reprodukovat na zařízení Google Pixel 6 Pro s Androidem 17 a nejnovější bezpečnostní aktualizací, kde bylo možné prohlížet obrázky bez jakéhokoli ověření. Přístup byl potvrzen také na zařízení Oppo K13 s ColorOS 16.
Naopak Samsung Galaxy S25 Ultra s Androidem 16 a One UI 8.5 pokus zablokoval: při pokusu o otevření aplikace Meta AI během videohovoru zařízení uživatele vrátilo na uzamčenou obrazovku a vyžádalo si zadání kódu nebo biometrickou autentizaci. Skutečnost, že telefony Oppo i Samsung běží na Androidu 16, ale reagují opačně, ukazuje, že problém do značné míry závisí na tom, jak jednotliví výrobci spravují oprávnění přístupná z uzamčené obrazovky.
iPhone se tohoto problému netýká
Zařízení Apple nejsou zranitelná díky CallKitu, rámci, který iOS používá k směrování hovorů z aplikací třetích stran, jako je WhatsApp. Když je iPhone uzamčen, CallKit zobrazí nativní rozhraní pro volání operačního systému namísto toho, aby poskytl plný přístup k rozhraní WhatsApp. Toto omezení znemožňuje přístup k funkci Meta AI a nutí uživatele odemknout zařízení, než bude moci otevřít galerii.