Une faille de sécurité dans la version Android de WhatsApp permet à quelqu'un d'accéder à la galerie de photos d'un appareil sur un smartphone verrouillé, sans avoir besoin d'un code PIN, d'une empreinte digitale ou d'un mot de passe. Ce problème a été signalé à Meta, qui détient WhatsApp, ainsi qu'à Google, mais il n'a pas encore été corrigé. Selon un rapport, répondre à un appel vidéo WhatsApp sur un appareil Android verrouillé ouvre toute la galerie de photos, contournant ainsi l'écran de verrouillage. Aucune authentification n'est nécessaire pour accéder à ces données. La vulnérabilité a été découverte par le chercheur en sécurité Jose Rodriguez, qui a précédemment identifié des problèmes similaires dans les systèmes Android et iOS. Selon un autre rapport, aucune compétence technique particulière n'est nécessaire pour exploiter cette faille — il suffit d'avoir un accès physique à l'appareil. Lorsqu'un appel vidéo WhatsApp arrive sur un téléphone Android verrouillé, quiconque possédant l'appareil peut répondre sans le déverrouiller, tout comme pour un appel téléphonique normal. Une fois la communication établie, en tapant sur l'icône d'effets vidéo, en naviguant vers l'onglet "Arrière-plans", en sélectionnant "Créer avec Meta AI" puis en choisissant "Éditer la photo", l'ensemble de la galerie de photos s'ouvre. Le système ne demande pas d'authentification. Cette fonction d'édition de photos, conçue pour améliorer l'expérience d'appel, accède aux images de l'appareil sans vérifier que l'utilisateur est le propriétaire du téléphone. Un aperçu des photos apparaît avant que le système ne demande un code PIN ou une authentification biométrique. Cette vulnérabilité n'affecte pas tous les smartphones Android. Les tests effectués par Lukáš Štefanko, chercheur chez ESET, ont montré que des appareils tels que le Google Pixel 6 Pro et l'Oppo K13 équipé de ColorOS 16 sont vulnérables. Cependant, le Samsung Galaxy S25 Ultra avec One UI 8.5 redirige les utilisateurs vers l'écran de verrouillage et exige une authentification avant de continuer. Les iPhones ne sont pas affectés. Le framework CallKit d'Apple oblige WhatsApp à utiliser l'interface d'appel native iOS, ce qui bloque l'accès aux menus personnalisés de l'application pendant un appel, y compris à l'outil de remplacement d'arrière-plan permettant de contourner l'écran de verrouillage. Meta a reconnu le problème et a promis une correction prochainement. En attendant, les utilisateurs peuvent limiter l'accès de WhatsApp aux photos et aux vidéos en ajustant les autorisations de l'application dans les paramètres Android. Cela permet de restreindre l'accès de WhatsApp à un sous-ensemble d'images approuvées à l'avance plutôt qu'à toute la bibliothèque. Cependant, cela limite également la possibilité de consulter directement les photos depuis une conversation, qui est une fonction légitime lorsque le téléphone est déverrouillé.