Masz zablokowany telefon i myślisz, że wszystkie twoje prywatne dane są bezpieczne? Błąd, no a przynajmniej, jeśli masz smartfon z Androidem i korzystasz z WhatsApp. Najnowsza luka w zabezpieczeniach popularnej aplikacji do czatu oraz połączeń sprawia, że niepowołana osoba może podejrzeć wszystkie twoje zdjęcia bez konieczności odblokowywania ekranu – wystarczy odebrać połączenie wideo.
Każdy może to zrobić
Mechanizm działania ataku jest aż niewiarygodnie prosty i nie wymaga żadnej wiedzy technicznej, bo cała procedura prowadzi przez zwykłe, standardowe opcje aplikacji. Gdy na zablokowanym telefonie z Androidem odbierze się połączenie wideo na WhatsApp za pomocą przesunięcia palca, wystarczy (po nawiązaniu połączenia) kliknąć ikonę efektów, przełączyć się z zakładki filtrów na zakładkę teł, a następnie wybrać opcję „Utwórz z Meta AI”. Kliknięcie w „Edytuj zdjęcie” całkowicie omija zabezpieczenia i od razu otwiera pełną galerię zdjęć zapisanych na urządzeniu, choć tylko do podglądu – nie da się ich wysłać czy usunąć. Co istotne, atak wymaga fizycznego dostępu do telefonu, nie da się go przeprowadzić zdalnie przez internet.
Nie każdy jest zagrożony i można to sprawdzić
Przetestowałem ten schemat ataku u siebie, na Pixelu 11 i nie mogłem go odtworzyć. Po nawiązaniu połączenia przeszedłem wszystkie kroki potencjalnego atakującego, ale w moim przypadku nie wyświetlała się opcja „Utwórz z Meta AI” – miałem jedynie wybór gotowych filtrów. Nie mogę mieć pewności dlaczego tak się stało, ale domyślam się, że jest to związane z dostępnością Meta AI na terenie Unii Europejskiej. Przedstawiony na filmiku atak najprawdopodobniej odbywa się w USA, gdzie asystent jest dostępny, bo sama Meta zaznacza, że jego implementacja różni się w zależności od kraju.
Luka nie występuje na wszystkich urządzeniach z Androidem, bo wiele zależy od tego, jak dany producent podchodzi do kwestii nawiązywania połączeń. Jako donosi serwis Notebookcheck, na Samsungu Galaxy S25 Ultra z One UI 8.5 próba kliknięcia przycisku Meta AI od cofa użytkownika na ekran blokady, wymuszając podanie kodu PIN lub weryfikację biometryczną. Z kolei na Oppo K13 z ColorOS 16 obejście zabezpieczeń działa bez zarzutu. Oba te telefony bazują na Androidzie 16, więc różnicę robi tu nakładka producenta, a nie aktualizacje zabezpieczeń systemu operacyjnego.
Na iPhone’ach problem w ogóle nie występuje, bo jeżeli na zablokowanym iPhonie odbierzecie połączenie z WhatsAppa, to za obsługę rozmowy odpowiada mechanizm CallKit od Apple, wyświetlający systemowy ekran połączenia telefonicznego. To całkowicie blokuje dostęp do wszystkich narzędzi Meta i jest bardzo bezpiecznym sposobem nawiązywania połączeń.
Błąd został już zgłoszony zarówno do Mety, jak i do Google, więc oficjalna aktualizacje powinny być już w drodze. Jeśli obawiacie się o prywatność zdjęć w swoim telefonie, to w aplikacjach do rozmów wideo (nie wiadomo czy tylko WhatsApp jest podatny) warto wyłączyć w uprawnieniach dostęp do całej galerii. Poza tym możecie sami sprawdzić czy jesteście podatni na atak po prostu odbierając połączenie WhatsApp wideo na własnym telefonie z zablokowanym ekranem i przechodząc do zakładki „Tła”. Jeśli nie ma tam opcji „Meta AI”, to wszystko jest w porządku.
0 komentarzy