WhatsApp-lek geeft toegang tot privéfoto’s op vergrendelde Android-telefoons

Een nieuw ontdekt beveiligingsprobleem in WhatsApp kan ervoor zorgen dat privéfoto’s op bepaalde Android-telefoons toegankelijk zijn zonder dat het toestel eerst met een pincode, vingerafdruk of gezichtsherkenning wordt ontgrendeld. Het probleem ontstaat via een combinatie van WhatsApp-videobellen en de fotobewerkingsfunctie van Meta AI.

Het lek werd ontdekt door beveiligingsonderzoeker Jose Rodriguez. Het probleem is inmiddels gemeld bij Meta en Google.

Videogesprek vormt toegang tot galerij De methode begint wanneer een vergrendelde Android-telefoon een WhatsApp-videogesprek ontvangt. Zo’n gesprek kan worden aangenomen zonder het toestel eerst te ontgrendelen, zoals ook bij normale telefoongesprekken mogelijk is.

Tijdens het videogesprek kan vervolgens het menu voor effecten en achtergronden worden geopend. Via de optie “Create with Meta AI” kan worden gekozen om een bestaande foto te bewerken. Op getroffen toestellen opent WhatsApp daarna de fotogalerij zonder opnieuw om een pincode of biometrische verificatie te vragen.

Daardoor kan iemand die de vergrendelde telefoon in handen heeft

door opgeslagen foto’s bladeren. De rest van het toestel blijft volgens de uitgevoerde tests wel vergrendeld.

Niet alle Android-telefoons getroffen Het probleem doet zich niet op iedere Android-telefoon voor. De methode kon onder meer worden uitgevoerd op een Google Pixel 6 Pro met Android 17 en een Oppo K13 met ColorOS 16.

Bij een Samsung Galaxy S25 Ultra met One UI 8.5 werkte de methode niet. Het Samsung-toestel vroeg alsnog om een pincode of biometrische authenticatie voordat toegang tot de foto’s werd verleend.

Dat verschil wijst erop dat de kwetsbaarheid mede samenhangt met de manier waarop verschillende fabrikanten de beveiliging van het vergrendelscherm hebben ingericht.

Geen aanval op afstand Het gaat niet om een methode waarmee criminelen vanaf een andere locatie via internet zomaar toegang kunnen krijgen tot iemands foto’s. Voor misbruik moet iemand de vergrendelde telefoon daadwerkelijk in handen hebben.

Dat beperkt het risico, maar kan bijvoorbeeld wel een

probleem vormen wanneer een telefoon verloren raakt, wordt gestolen of korte tijd onbeheerd wordt achtergelaten. Iemand met fysieke toegang zou de galerij kunnen bekijken zonder de toegangscode van het toestel te kennen.

iPhones niet getroffen Voor zover uit de huidige tests blijkt, treft deze specifieke kwetsbaarheid iPhones niet. WhatsApp-oproepen worden op een vergrendelde iPhone anders afgehandeld, waardoor de WhatsApp-functies waarmee het Android-lek kan worden bereikt niet rechtstreeks beschikbaar zijn vanaf het vergrendelscherm.

Het probleem is bij Meta en Google gemeld. Op het moment van publicatie was nog geen officiële update aangekondigd die het lek definitief verhelpt.

Android-gebruikers die het risico voorlopig willen beperken, kunnen in de instellingen van hun telefoon de toegang van WhatsApp tot foto’s en video’s wijzigen naar beperkte toegang. Daardoor krijgt WhatsApp niet langer automatisch toegang tot de volledige fotogalerij.

Gebruikers doen er daarnaast goed aan nieuwe updates voor WhatsApp en Android zo snel mogelijk te installeren

zodra deze beschikbaar zijn.