WhatsApp má nepríjemnú chybu na zamknutom Androide. Človek sa môže dostať k fotografiám bez znalosti PIN-u
Chyba vo WhatsAppe môže na niektorých Android telefónoch otvoriť galériu fotografií aj bez zadania PIN-u alebo biometrického overenia.
Keď zamkneš telefón, človek, ktorý ho vezme do ruky, by sa bez PIN-u, hesla alebo odtlačku prsta k tvojim fotografiám dostať nemal. Bezpečnostný výskumník José Rodríguez však upozornil na chybu, cez ktorú sa dá na niektorých Android telefónoch otvoriť galéria cez WhatsApp aj bez odomknutia zariadenia.
Nejde o vzdialený hackerský útok ani o škodlivú aplikáciu. Útočník potrebuje telefón fyzicky držať v ruke a využiť prichádzajúci videohovor cez WhatsApp. Rodríguez problém zverejnil na sociálnej sieti X a uviedol, že ho nahlásil spoločnostiam Meta aj Google.
Chyba pritom nefunguje na každom Androide. Testy ukázali pomerne výrazné rozdiely dokonca aj medzi telefónmi s rovnakou verziou systému.
Z hovoru sa útočník dostane až k tvojej galérii
Android umožňuje prijať prichádzajúci hovor aj zo zamknutej obrazovky. To je normálne. Problém nastáva v momente, keď sa človek z obrazovky hovoru dostane ďalej, než by mal.
Po prijatí videohovoru WhatsApp ponúka filtre, vizuálne efekty a možnosť meniť pozadie. V tejto časti sa môže zobrazovať aj funkcia Create with Meta AI, cez ktorú možno vytvoriť nový obrázok alebo upraviť fotografiu uloženú v telefóne.
Neprehliadni
Na zraniteľnom zariadení práve výber existujúcej fotografie otvorí galériu bez toho, aby Android najprv vyžiadal PIN, heslo alebo biometrické overenie.
Funkcia Create with Meta AI pritom nemusí byť dostupná každému používateľovi alebo na každom zariadení. Bez nej sa tento konkrétny postup nedá vykonať.
Be aware that your photos can be accessed without unlocking your phone when you receive a WhatsApp video call on Android.
This is in plain sight. It’s not hidden, not a secret feature. Not a hack.
This has already been reported to Meta and Google.#Privacy #Security #Android17 pic.twitter.com/F7wulhNiZ1— Jose Rodriguez (@VBarraquito) September 1, 2026
Na Pixeli chyba fungovala aj s aktuálnou bezpečnostnou záplatou
Rodríguez celý postup ukázal priamo na telefóne. Následne ho nezávisle preveril Notebookcheck.
Redakcia chybu reprodukovala na Google Pixel 6 Pro s Androidom 17 a aktuálnou bezpečnostnou aktualizáciou. Tester prijal WhatsApp videohovor na zamknutom telefóne, otvoril nástroj na úpravu fotografie a následne sa dostal k obrázkom v zariadení bez zadania PIN-u.
Dva telefóny s Androidom 16, no každý sa zachoval inak
Pri ďalších telefónoch už výsledky neboli rovnaké.
Notebookcheck postup vyskúšal na Samsung Galaxy S25 Ultra s Androidom 16 a nadstavbou One UI 8.5. Tu systém zareagoval správne. Pri pokuse dostať sa k fotografiám cez Meta AI sa zobrazila zamknutá obrazovka a telefón vyžiadal PIN alebo biometrické overenie.
Na Oppo K13 s ColorOS 16 však rovnaká ochrana nezabrala a fotografie bolo možné otvoriť aj bez odomknutia zariadenia.
Samsung aj Oppo pritom používali Android 16. Samotná verzia Androidu teda nevysvetľuje, prečo jeden telefón prístup zablokoval a druhý nie.
Zatiaľ nie je jasné, či problém vzniká priamo vo WhatsAppe, v systéme Android alebo v tom, ako jednotliví výrobcovia spracúvajú aplikácie na zamknutej obrazovke. Google ani Meta zatiaľ podrobné technické vysvetlenie nezverejnili.
Samotný videohovor nestačí. Telefón musí mať útočník pri sebe
Chyba sa netýka vzdialených útokov. Útočník potrebuje telefón fyzicky v ruke. Samotným zavolaním cez WhatsApp sa človek na druhej strane k tvojej galérii nedostane.
V praxi by niekto musel vziať tvoj zamknutý telefón, prijať na ňom prichádzajúci videohovor a následne cez rozhranie WhatsAppu prejsť k nástroju na zmenu pozadia a úpravu fotografie.
Scenár teda dáva zmysel najmä vtedy, keď necháš telefón bez dozoru a dostane sa k nemu niekto ďalší. Práve pred takouto situáciou má však zamknutá obrazovka súkromné dáta chrániť.
Na iPhone útok skončí už pri obrazovke hovoru
Notebookcheck rovnaký postup skúšal aj na iPhone, no k fotografiám sa nedostal.
WhatsApp hovory na zamknutom iPhone využívajú systémové rozhranie CallKit od Apple. Používateľ teda po prijatí hovoru nevidí plné rozhranie WhatsAppu, cez ktoré by sa mohol dostať k efektom a nástroju na zmenu pozadia.
Rovnaký postup ako na zraniteľných Android telefónoch sa preto na iPhone reprodukovať nepodarilo.
Chyba je nahlásená, oprava zatiaľ neprišla
Rodríguez uviedol, že problém nahlásil spoločnostiam Google aj Meta. V čase publikovania však firmy nezverejnili opravu ani presný zoznam zariadení, ktorých sa chyba týka.
WhatsApp ju zatiaľ neuvádza ani na svojej oficiálnej stránke s bezpečnostnými upozorneniami. To ešte ale nemusí znamenať, že hlásenie odmietol. WhatsApp vysvetľuje, že bezpečnostné chyby verejne zverejňuje až po ich prešetrení, vydaní opráv a dostatočnom rozšírení aktualizácie medzi používateľov.
Najcitlivejšie fotografie schovaj do zamknutého priečinka
Žiadny univerzálny vypínač na túto chybu zatiaľ neexistuje.
Aj tak sa oplatí skontrolovať oprávnenia aplikácií v Androide a nenechávať WhatsAppu širší prístup k fotografiám, než potrebuje. Samotné obmedzenie prístupu iba na vybrané fotografie však zatiaľ nemožno považovať za potvrdenú ochranu pred touto chybou.
Rovnako nie je istým riešením ani App Lock vo WhatsAppe. Aplikáciu síce môžeš chrániť biometriou, no prichádzajúce hovory je možné prijímať aj vtedy, keď je WhatsApp zamknutý.
Ak máš v telefóne fotografie, ku ktorým sa nemá dostať nikto iný, lepšou poistkou je presunúť ich do Uzamknutého priečinka v Google Fotkách. Fotografie v ňom sa nezobrazujú v bežnej galérii a Google uvádza, že k nim nemajú prístup ani ostatné aplikácie pracujúce s fotografiami a videami.
Kým firmy nevydajú opravu, fungujú len dve staré pravidlá: nenechávať telefón bez dozoru a citlivé fotografie nedržať v bežnej galérii.
