Una vulnerabilidad detectada en WhatsApp para Android podría permitir acceder a las fotografías almacenadas en determinados teléfonos incluso cuando el dispositivo está bloqueado.
El fallo, descubierto por el investigador de seguridad José Rodríguez, requiere que una persona tenga acceso físico al móvil y que consiga responder una videollamada desde la pantalla de bloqueo, por lo que no se trata de un método de acceso remoto a las imágenes de cualquier usuario.
El problema estaría relacionado con una combinación de funciones disponibles durante una videollamada y el acceso a la galería desde una herramienta integrada en WhatsApp. Según las pruebas compartidas, una persona podría llegar a visualizar las fotografías almacenadas en un dispositivo sin introducir previamente el PIN, la contraseña o utilizar métodos biométricos como la huella dactilar o el reconocimiento facial.
El alcance de la vulnerabilidad, sin embargo, no parece ser idéntico en todos los móviles Android. Las primeras comprobaciones indican que el comportamiento depende, al menos en parte, de cómo cada fabricante gestiona los permisos y las funciones que pueden utilizarse mientras el teléfono permanece bloqueado.
El fallo comienza con una videollamada de WhatsApp
Para aprovechar esta vulnerabilidad es necesario tener el teléfono físicamente en las manos. El dispositivo debe permanecer bloqueado y el propietario debe recibir una videollamada a través de WhatsApp.
La aplicación permite responder a determinadas videollamadas desde la pantalla de bloqueo. Una vez que la llamada ha sido aceptada, la persona que tiene el móvil puede interactuar con algunas funciones disponibles dentro de la interfaz de WhatsApp.
El método mostrado por José Rodríguez no requiere instalar aplicaciones externas ni modificar el sistema operativo. Después de responder a la videollamada, basta con acceder al icono de efectos y entrar en la sección destinada a los fondos.
Desde allí aparece una opción denominada “Crear con Meta AI”, que permite utilizar herramientas de inteligencia artificial para generar imágenes o trabajar con fotografías almacenadas en el dispositivo.
El problema aparece al seleccionar la función relacionada con la modificación de una imagen existente. Según la demostración, algunos teléfonos permiten acceder directamente a la galería desde este punto sin solicitar ningún método adicional de desbloqueo.
La galería podría abrirse sin pedir PIN ni huella
La consecuencia potencial del fallo es que una persona con acceso físico al teléfono podría consultar las imágenes almacenadas aunque el dispositivo continúe bloqueado.
Normalmente, la pantalla de bloqueo actúa como una barrera para impedir que otras personas accedan a la información privada del usuario. Algunas funciones, como responder llamadas o consultar notificaciones, pueden utilizarse sin desbloquear completamente el dispositivo, pero el acceso a contenidos personales debería requerir una verificación adicional.
En este caso, la combinación de las funciones de WhatsApp y los permisos del sistema podría permitir superar esa barrera en determinados modelos.
Esto no significa que cualquier usuario de WhatsApp esté expuesto a un ataque remoto. El supuesto atacante necesita tener físicamente el móvil y aprovechar una situación concreta: recibir una videollamada, responderla desde la pantalla bloqueada y acceder posteriormente a las herramientas disponibles durante la llamada.
Aun así, el descubrimiento resulta relevante porque las fotografías pueden contener información privada, documentos personales o imágenes que los usuarios no esperan que sean accesibles desde un teléfono bloqueado.
El problema no afecta por igual a todos los móviles Android
Las comprobaciones realizadas por Notebookcheck muestran que la vulnerabilidad no se reproduce necesariamente en todos los dispositivos.
El medio consiguió replicar el acceso a la galería en un Google Pixel 6 Pro con Android 17 y el último parche de seguridad instalado. En ese teléfono fue posible abrir las fotografías y desplazarse por la galería sin que el sistema solicitara introducir el código de desbloqueo.
El resultado fue diferente en un Samsung Galaxy S25 Ultra con Android 16 y One UI 8.5. Al intentar utilizar la misma función desde la videollamada, el sistema regresó a la pantalla de bloqueo y solicitó el código de acceso o una verificación biométrica antes de continuar.
Esta diferencia apunta a que el fallo podría depender de la implementación realizada por cada fabricante. Aunque los dispositivos utilicen Android, las capas de personalización y las medidas de seguridad aplicadas pueden determinar qué permisos están disponibles cuando el teléfono permanece bloqueado.
