In questo articolo Indice dei contenuti 3 sezioni
Una videochiamata WhatsApp in arrivo può bastare per sfogliare le foto salvate su uno smartphone Android ancora bloccato, senza inserire PIN, password o impronta. Il comportamento è stato riprodotto su dispositivi reali, quindi il problema esiste davvero, ma raccontarlo come una falla che spalanca le immagini private di chiunque significherebbe descrivere uno scenario piuttosto diverso da quello effettivamente dimostrato. La segnalazione porta la firma del ricercatore di sicurezza Jose Rodriguez, già noto per il lavoro sui bypass della schermata di blocco su Android e iOS.
Il 1° settembre 2026 Rodriguez ha mostrato una sequenza sorprendentemente banale. Telefono bloccato, videochiamata WhatsApp in entrata, accesso all’interfaccia della chiamata e da lì agli effetti video, poi agli sfondi e infine a una funzione Meta AI che apre la raccolta fotografica senza chiedere alcuna autenticazione. Con una precisazione importante da fare subito, perché il risultato cambia da modello a modello. Su un Pixel 6 Pro con Android 17 e patch di sicurezza recenti il bypass funziona, così come su un Oppo K13 con ColorOS 16. Un Samsung Galaxy S25 Ultra con Android 16 e One UI 8.5, invece, interrompe la catena e riporta alla schermata di sblocco. Proprio questa differenza rende poco corretto parlare in modo generico di vulnerabilità di WhatsApp su Android.
Come si arriva alla galleria con lo schermo bloccato
Nella sequenza non c’è nessun exploit tradizionale, nessun codice malevolo, nessuna app modificata e nessuna escalation di privilegi. Lo rimarca lo stesso ricercatore. Serve invece una condizione molto concreta, cioè avere fisicamente in mano il dispositivo, che deve trovarsi bloccato e ricevere una videochiamata WhatsApp.
Android consente normalmente di rispondere ad alcune chiamate senza sbloccare il telefono, ed è una scelta comprensibile, perché chiedere l’autenticazione prima di ogni risposta renderebbe scomoda una funzione basilare. Il guaio nasce quando l’interfaccia mostrata sopra il lock screen apre un varco verso contenuti che invece dovrebbero restare protetti. Una volta risposto, sul dispositivo vulnerabile si apre il pannello degli effetti, si passa alla sezione degli sfondi e si sceglie la voce per creare con Meta AI. A quel punto l’app propone anche la modifica di un’immagine già esistente e, premendo sull’opzione di modifica della foto, compare la raccolta delle immagini presenti sul telefono. Il tutto senza aver mai superato il blocco.
Il difetto nasce dalla concatenazione di interfacce che, prese una per una, hanno tutte una loro logica. La chiamata deve poter comparire sopra la schermata di blocco, gli effetti devono essere usabili durante la conversazione, l’editor di Meta AI deve poter chiedere una fotografia su cui lavorare. Manca però il controllo di autenticazione nel punto esatto in cui la catena attraversa il confine tra ciò che è lecito mostrare a telefono bloccato e ciò che invece dovrebbe pretendere lo sblocco.
Il ruolo di Keyguard e quanto pesa davvero il rischio
Per capire perché tutto questo è tecnicamente plausibile bisogna guardare a Keyguard, il componente che governa lo stato della schermata di blocco. Android mette a disposizione API pensate proprio per permettere ad alcune attività di comparire mentre il Keyguard resta attivo, come Activity.setShowWhenLocked(), evoluzione del vecchio flag omonimo. La documentazione è chiara sul punto, ovvero un’app può mostrarsi sopra il blocco ma non ottiene per questo un telefono sbloccato. Esistono poi KeyguardManager.isDeviceLocked() e isKeyguardLocked(), che permettono al software di verificare se l’utente si è realmente autenticato e di fermare la navigazione quando servono dati privati. È verosimilmente su questa verifica che i vari produttori si comportano in modo diverso.
Il modello di attacco ridimensiona parecchio la faccenda. Chi esegue la sequenza deve avere il telefono tra le mani e deve riuscire a far arrivare una videochiamata, magari chiamando la vittima da un altro account mentre ne possiede temporaneamente lo smartphone. Nessun privilegio speciale, nessuna competenza tecnica, ed è proprio la semplicità a rendere il bug interessante. La definizione più corretta è quella di un bypass locale delle restrizioni del blocco schermo con esposizione di informazioni, non di una compromissione remota. Il rischio riguarda soprattutto telefoni smarriti, rubati o lasciati incustoditi.
Cosa conviene fare adesso
La contromisura più solida resta installare in fretta gli aggiornamenti di WhatsApp, di Android e dei componenti distribuiti tramite Google Play. Non essendo ancora arrivato un bollettino ufficiale sul problema, non è possibile indicare con certezza una versione che contenga la correzione.
Come mitigazione temporanea conviene attivare in WhatsApp l’opzione Silenzia chiamate da numeri sconosciuti, dentro Impostazioni, Privacy, Chiamate. Le chiamate da numeri non in rubrica restano visibili nell’elenco e nelle notifiche, ma non fanno squillare il telefono. Non corregge il bug e non serve contro un chiamante già conosciuto, però chiude uno dei percorsi più comodi per generare la chiamata necessaria. Su diversi modelli è inoltre possibile limitare le informazioni mostrate sulla schermata di blocco o cambiare il comportamento delle notifiche e delle chiamate a tutto schermo, con opzioni che variano parecchio tra Pixel, Samsung, Oppo e gli altri marchi.
