Klid v duši, který přichází se zamčeným telefonem a bezpečným uložením všech fotografií, byl zničen. Bezpečnostní výzkumník José Rodríguez zveřejnil na svém účtu X video, které ukazuje, jak se dostat do galerie telefonu Android bez zadávání PINu, vzoru nebo použití otisku prstu. Tento trik, který nevyžaduje instalaci ničeho neobvyklého, využívá zranitelnost ve správě videohovorů WhatsAppu a mimochodem zdůrazňuje, jak moc závisí zabezpečení telefonu na tom, jak každý výrobce konfiguruje vnitřní fungování systému.
Zdánlivě jednoduchý postup vyžaduje, aby někdo měl telefon oběti fyzicky v rukou, aby byl uzamčen a aby oběť přijala videohovor přes WhatsApp. Zatím je to normální; kdokoli může přijmout hovor bez odemčení telefonu. Problém nastává později, protože ze samotného rozhraní aplikace je možné se dostat do sekce, která umožňuje otevřít celou galerii bez dalších kontrol. Nejedná se o vzdálený útok ani o zranitelnost, kterou lze zneužít na dálku, takže vystavení je omezeno na velmi specifický scénář: někdo s fyzickým přístupem k zařízení se chová jako zranitelnost.
Cesta k vstupu do galerie: od videohovoru k „Tvoření s Meta AI“
Jakmile je videohovor navázán, telefon zůstává uzamčen, ale WhatsApp umožňuje určité akce. Mezi ně patří klepnutí na ikonu efektů, která otevře nabídku s kartami. Tam se dostanete do sekce pozadí a poté klepnete na možnost „Vytvořit s Meta AI“ . V tomto okamžiku se u zranitelných zařízení objevují problémy. Při výběru funkce pro úpravu existující fotografie systém nevyžaduje žádné ověření a přímo zobrazuje celou galerii zařízení. Kdokoli, kdo má telefon v ruce, si tak může prohlédnout fotografie, včetně osobních dokumentů nebo soukromých obrázků, bez vědomí majitele.
Znepokojivé na tom je, jak plynulý je celý proces. Nejsou potřeba žádné technické znalosti ani externí nástroje; stačí pouhé přejetí prstem pro přijetí hovoru a procházení nabídek. Únik navíc nezanechává žádné stopy, protože se neinstalují žádné programy ani se v systému nic nemění. Pro oběť se vše redukuje na běžný videohovor, možná trochu zvláštní, ale nic nenasvědčuje tomu, že by její fotografie byly slíbeny. Objev, který již byl nahlášen serverům Meta a Google, nechává nezodpovězenou otázku, kdy bude k dispozici definitivní řešení.
Android není jednotný systém: zabezpečení závisí na každém výrobci.
Jedním z nejdůležitějších zjištění tohoto vyšetřování je, že chyba nepostihuje všechny telefony stejnou měrou. Testy provedené technologickým webem Notebookcheck potvrzují, že zranitelnost lze snadno replikovat na Google Pixel 6 Pro s nejnovější verzí Androidu a nejnovější bezpečnostní záplatou. Na tomto zařízení byl přístup do galerie úspěšný, aniž by byla ovlivněna zamykací obrazovka. Problém byl také replikován na OPPO K13 s ColorOS 16, což dokazuje, že chyba má reálný dosah a nejedná se pouze o teoretický problém.
Chování se však u jiných výrobců zcela liší. Při testování stejné metody na Samsungu Galaxy S25 Ultra, který běží na One UI 8.5 nad Androidem 16, se pokus o otevření nástroje Meta AI vrátil přímo na zamykací obrazovku. V takovém případě zařízení před povolením dalšího přístupu vyžadovalo heslo nebo biometrické ověření. Tento rozdíl v chování mezi zařízeními se stejným operačním systémem Android naznačuje, že odpovědnost spočívá z velké části ve vrstvě přizpůsobení, kterou každá značka přidává, a v tom, jak spravuje oprávnění aplikací, když je telefon uzamčen.
Problém tím ale nekončí, protože srovnání s iPhony je poučné. Na zařízeních Apple tato zranitelnost prakticky neexistuje. Důvod spočívá v CallKitu, systému, který spravuje hovory z aplikací třetích stran a který při uzamčení telefonu zobrazuje nativní rozhraní pro hovory, místo aby WhatsAppu umožnil přístup k jeho vlastním nabídkám. To brání přístupu k sekci tapet, a tím blokuje přístup do galerie. V praxi je uživatel iPhonu nucen telefon odemknout, než může dělat cokoli jiného než přijmout hovor.
Co dělat, zatímco čekáte na oficiální opravu: provizorní opatření, jak zabránit zveřejnění vašich fotografií
Velkou otázkou, kterou si všichni kladou, je, co mohou uživatelé udělat pro svou ochranu, dokud nebude vydána záplata. Podle odborníků spočívá odpověď v kombinaci selského rozumu a manuálního nastavení. Nejúčinnějším doporučením je omezit přístup WhatsAppu do galerie. Android umožňuje detailní konfiguraci přístupu k fotografiím a videu, takže aplikace vidí pouze malou sadu předem vybraných obrázků, místo aby měla volnou ruku nad celou knihovnou. Tato možnost, dostupná v nastavení oprávnění systému, zranitelnosti prakticky nedává prostor k jejímu použití.
Kromě omezení oprávnění je vhodné zkontrolovat nastavení zamykací obrazovky a v případě potřeby vypnout náhledy oznámení. Je také důležité si uvědomit, že riziko není bezvýznamné: ačkoli nebyly zdokumentovány žádné hromadné útoky ani vzdálené zneužití , skutečné nebezpečí spočívá v ponechání telefonu v dosahu ostatních. Chvilka nedbalosti na kavárenském stolku nebo ponechání telefonu bez dozoru během schůzky by mohla stačit někomu s minimálními znalostmi k zneužití situace. Dokud Meta nevydá záplatu, je nejlepším postupem opatrnost.
Stojí za připomenutí, že jak Meta, tak Google již byly o tomto problému informovány. Formální komunikace, učiněná prostřednictvím specializovaných médií a samotným výzkumníkem, posouvá míč na stranu společností. Zatímco čekáme na jejich rozhodnutí, pocit je hořkosladký: na jedné straně se zdá, že tato zranitelnost má velmi omezené možnosti a nelze ji zneužít na dálku; na druhé straně ji snadnost, s jakou ji lze provést, a absence stopy činí v určitých situacích obzvláště problematickým rizikem. Další aktualizace WhatsAppu bude lakmusovým papírkem, jak rychle Meta zareaguje na problém, který sice nejde o globální kybernetický útok, ale odhaluje slabinu v bezpečnostním přístupu Androidu.
Ve Španělsku, kde je WhatsApp dominantní aplikací pro zasílání zpráv a většina uživatelů má zařízení se systémem Android, je toto zjištění obzvláště relevantní. Spoléhání se na tyto typy funkcí poháněných umělou inteligencí bude i nadále růst a s ní i plocha pro lokální útoky. Posledním doporučením je zůstat ostražití, kontrolovat oprávnění aplikací a uvědomovat si, že pohodlí telefonu plného fotografií a chytrých funkcí má svou cenu, někdy placenou trochou soukromí. Dokud nebude vydána opravná sada, je nejlepší zařízení ručně zamykat.
