Vulnerabilidad en WhatsApp permite ver imágenes con el dispositivo bloqueado

• Se ha detectado un error de seguridad en WhatsApp que posibilita el acceso a las fotografías en ciertos modelos de teléfonos Android, eliminando la necesidad de ingresar el código PIN de desbloqueo para visualizarlas.

La pantalla de bloqueo del móvil debería ser la última barrera entre tus datos personales y cualquier persona que tenga el dispositivo en sus manos. Sin embargo, un fallo descubierto en WhatsApp puede saltarse esa protección en determinados teléfonos Android y permitir el acceso a las fotografías almacenadas.

El problema no requiere conocimientos técnicos ni un complicado ataque informático. Basta con tener acceso físico al teléfono y recibir una videollamada de WhatsApp para, siguiendo varios pasos dentro de la propia aplicación, llegar hasta la galería de imágenes sin introducir el código de desbloqueo.

La vulnerabilidad ya ha sido comunicada a Meta y Google, aunque por el momento no todos los dispositivos Android parecen estar afectados. De hecho, las pruebas realizadas en diferentes móviles muestran que el comportamiento depende en buena medida del software utilizado por cada fabricante.

El fallo aprovecha algunas de las funciones que WhatsApp permite utilizar mientras el teléfono permanece bloqueado. Cuando llega una videollamada, el usuario puede responderla directamente sin introducir el PIN o utilizar la huella dactilar.

Una vez contestada, hay que acceder al icono de efectos que aparece durante la llamada. Desde ahí se puede cambiar a la sección de fondos y seleccionar "Crear con Meta AI". Esta opción ofrece, entre otras posibilidades, editar una fotografía.

Es precisamente aquí donde aparece el problema. Al pulsar "Editar foto", WhatsApp puede abrir la galería completa del teléfono pese a que el dispositivo continúa bloqueado.

Los investigadores de Notebookcheck consiguieron reproducir el fallo en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad disponible. En sus pruebas pudieron navegar por las fotografías almacenadas sin que el sistema solicitara ninguna autenticación.

Esto significa que el riesgo no consiste en que alguien pueda acceder a tus fotos remotamente a través de Internet. Para aprovecharlo, primero tendría que tener tu teléfono físicamente en sus manos.

Uno de los aspectos más importantes del descubrimiento es que el fallo no funciona de la misma manera en todos los dispositivos.

Las pruebas realizadas con un Samsung Galaxy S25 Ultra equipado con One UI 8.5 no permitieron saltarse la protección. Al intentar utilizar Meta AI para editar una imagen, el teléfono devolvió al usuario a la pantalla de bloqueo y solicitó el código o una identificación biométrica.

En cambio, el mismo procedimiento sí funcionó en un OPPO K13 con ColorOS 16. El hecho de que ambos teléfonos utilicen Android 16 pero tengan comportamientos diferentes apunta a que el problema está relacionado con la forma en que cada fabricante gestiona determinados permisos y funciones sobre la pantalla bloqueada.

Los usuarios de iPhone no tienen que preocuparse por este fallo concreto. En iOS, WhatsApp utiliza CallKit, el sistema de Apple para gestionar las llamadas, por lo que las videollamadas entrantes muestran la interfaz nativa de iOS en lugar de permitir que WhatsApp mantenga el mismo acceso a sus herramientas mientras el teléfono está bloqueado.

Por ahora, la recomendación pasa por mantener WhatsApp y el sistema operativo actualizados y evitar dejar el teléfono al alcance de otras personas.