WhatsApp est une belle porte d’entrée vers la galerie photo complète d’un smartphone Android, pourtant verrouillé, y compris avec les derniers correctifs installés. Un appel vidéo entrant sur WhatsApp suffit pour passer au travers de l’ensemble des mécanismes de sécurité. Voici ce que l’on sait.
Le chercheur en sécurité Jose Rodriguez, à l’origine de cette découverte, a publié une vidéo sur X : “Sachez que vos photos peuvent être consultées sans déverrouiller votre téléphone lorsque vous recevez un appel vidéo WhatsApp sur Android. C’est en pleine vue. Ce n’est pas caché, ce n’est pas une fonction secrète. Ce n’est pas un hack.”, écrit-il.
Le problème a été signalé à Meta et à Google. Toutefois, à l’heure où j’écris ces lignes, aucun correctif n’existe. Toutefois, pour exploiter cette technique, il faut :
Avoir le téléphone en main,
Un appel vidéo WhatsApp doit arriver sur le téléphone à ce moment-là (il faut donc un second téléphone).
Cette vulnérabilité liée à WhatsApp n’est pas exploitable par un cybercriminel situé à l’autre bout du monde. Mais tout de même, c’est gênant, surtout en cas de perte ou de vol de l’appareil, car la sécurité de l’écran de verrouillage devient inefficace.
Une simple navigation dans les menus de WhatsApp
Alors, comment fonctionne cette attaque offrant un accès complet à la galerie de photos ? En réalité, il suffit de naviguer dans les menus de WhatsApp sur Android, le tout depuis un appel vidéo en cours.
Décrocher. Sur un appareil verrouillé, il est possible de répondre à un appel vidéo WhatsApp d’un simple mouvement de doigt, sans authentification. C’est un comportement voulu, comme pour un appel classique.
Ouvrir les effets. Une fois l’appel en cours, l’icône des effets ouvre un panneau avec trois onglets : effets, filtres et arrière-plans. Ici, ce sont les arrière-plans qui nous intéressent.
Passer par Meta AI. Le bouton “Créer avec Meta AI” propose de générer une nouvelle image ou de modifier une photo existante.
Modifier une photo. C’est là que tout se joue : l’option d’édition ouvre le sélecteur de médias du système, et donc l’intégralité de la galerie Android. Même si l’appareil était verrouillé au départ, cela ne change rien.
Reste à savoir si tous les appareils sont affectés de la même façon. En fonction des surcouches des différents constructeurs et des fonctions de sécurité supplémentaires qui peuvent s’y trouver, il n’est pas à exclure qu’il y ait des comportements différents. Perso, j’ai testé sur mon Samsung Galaxy S24 sous Android 16 et je confirme que la technique fonctionne…! Cela a été confirmé également sous Android 17.
Côté iPhone, rien à signaler. Avec le framework CallKit, un appel WhatsApp entrant sur un iOS verrouillé passe par l’interface d’appel native d’Apple, pas par l’écran d’appel de WhatsApp. Le panneau des effets n’est tout simplement jamais accessible avant déverrouillage. Tout ça à cause d’une fonction IA qui sert absolument à rien !
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.