WhatsApp, foto visibili con Android bloccato: ecco quando succede

Una videochiamata WhatsApp in arrivo può davvero consentire di vedere le foto archiviate su uno smartphone Android ancora bloccato. Il problema esiste, è stato riprodotto su dispositivi reali e merita attenzione; ma definirlo semplicemente come una “falla di WhatsApp che permette a chiunque di accedere alle foto private” rischia di far immaginare uno scenario molto diverso da quello effettivamente dimostrato.

La segnalazione arriva dal ricercatore di sicurezza Jose Rodriguez, già autore in passato di ricerche sui lock screen bypass di Android e iOS.

Il 1° settembre 2026 Rodriguez ha mostrato una sequenza sorprendentemente semplice: con uno smartphone Android bloccato, una videochiamata WhatsApp permette di entrare nell’interfaccia della chiamata; da lì si raggiungono gli effetti video, gli sfondi e infine una funzione Meta AI capace di aprire la raccolta fotografica senza chiedere PIN, password o autenticazione biometrica.

Attenzione, però. E questo è bene precisarlo fin dall’inizio: il comportamento del bypass varia da uno smartphone all’altro. Con un Pixel 6 Pro con Android 17 e aggiornamenti di sicurezza recenti il bypass funziona; lo stesso accade su un Oppo K13 con ColorOS 16. Un Samsung Galaxy S25 Ultra con Android 16 e One UI 8.5, invece, interrompe la sequenza e riporta correttamente l’utente alla schermata di autenticazione. È proprio questa differenza a rendere la vicenda più interessante dal punto di vista tecnico: parlare genericamente di “vulnerabilità di WhatsApp su Android” non è propriamente corretto.

Come si riesce ad arrivare alle foto della galleria con il telefono bloccato

La sequenza mostrata da Rodriguez non contiene exploit tradizionali, codice malevolo, applicazioni modificate o tecniche di escalation dei privilegi: tende a rimarcarlo lo stesso ricercatore. Serve innanzitutto avere accesso fisico allo smartphone: il telefono deve trovarsi bloccato e deve ricevere una videochiamata WhatsApp.

Android consente normalmente di rispondere a determinate chiamate senza sbloccare il dispositivo. È una scelta necessaria: obbligare l’utente a effettuare ogni volta l’autenticazione prima di accettare una telefonata renderebbe poco pratica una funzione fondamentale dello smartphone. Il problema nasce quando l’interfaccia accessibile sopra la schermata di blocco apre una strada verso contenuti che, al contrario, dovrebbero rimanere protetti.

Dopo aver risposto alla videochiamata WhatsApp, sul dispositivo vulnerabile è possibile aprire il pannello degli effetti. Da qui si passa alla sezione dedicata agli sfondi e si seleziona “Create with Meta AI“. WhatsApp propone quindi, tra le possibilità disponibili, la modifica di un’immagine esistente. Premendo “Edit photo” compare la raccolta delle immagini presenti sul telefono, pur senza avere ancora superato il blocco schermo.

Il difetto nasce dalla concatenazione di interfacce che, considerate separatamente, hanno una ragione per esistere. Una chiamata può comparire sopra il lock screen; gli effetti devono essere utilizzabili durante la chiamata; l’editor Meta AI deve poter chiedere una fotografia da modificare. Il controllo di autenticazione manca nel punto in cui quella catena attraversa il confine tra ciò che può comparire con dispositivo bloccato e ciò che invece dovrebbe richiedere lo sblocco.

Android permette alle applicazioni di comparire sopra la schermata di blocco

Per capire perché il comportamento è plausibile bisogna guardare al funzionamento di Keyguard, il componente Android che gestisce lo stato della schermata di blocco. Android mette a disposizione API specifiche per consentire ad alcune attività di mostrarsi anche mentre il Keyguard rimane attivo.

Tra queste c’è Activity.setShowWhenLocked(), evoluzione del precedente FLAG_SHOW_WHEN_LOCKED. La documentazione Android spiega esplicitamente che un’Activity può comparire sopra la schermata di blocco: l’app non ottiene automaticamente un telefono sbloccato. Può soltanto mostrare una propria interfaccia mentre il Keyguard continua formalmente a proteggere il resto del sistema.

Android dispone anche delle funzioni KeyguardManager.isDeviceLocked() e isKeyguardLocked(), che permettono al software di determinare se l’utente ha effettivamente sbloccato il dispositivo. Quando un’operazione richiede l’accesso a informazioni private, l’app o il componente coinvolto può utilizzare questo stato per interrompere la navigazione e chiedere lo sblocco. È verosimilmente su questo confine che il comportamento dei vari produttori di smartphone tende a divergere.

Quanto è grave la falla

Come anticipato in precedenza, la falla è reale ma il suo modello di attacco ridimensiona di molto il problema descritto. Chi effettua materialmente la sequenza deve avere il telefono tra le mani.

L’attaccante deve inoltre riuscire a provocare una videochiamata WhatsApp in arrivo: nello scenario più semplice potrebbe chiamare il numero della vittima da un altro account mentre possiede temporaneamente il suo smartphone. Non occorrono privilegi particolari né conoscenze tecniche, ed è proprio questo a rendere il bug interessante: l’esecuzione è banale quando i prerequisiti risultano soddisfatti.

La classificazione più appropriata è quindi quella di un bypass locale delle restrizioni della schermata di blocco con esposizione di informazioni, non quella di una compromissione remota di WhatsApp. Il rischio principale riguarda telefoni smarriti, rubati o lasciati incustoditi in luoghi dove un’altra persona può maneggiarli per qualche minuto.

Cosa può fare subito chi usa WhatsApp su Android

La misura più importante resta installare tempestivamente gli aggiornamenti di WhatsApp, Android e dei componenti di sistema distribuiti tramite Google Play. Non essendoci ancora un bollettino ufficiale relativo al problema, non è possibile indicare una versione che contenga con certezza la correzione.

Come mitigazione temporanea ha senso attivare in WhatsApp l’opzione Silenzia chiamate da numeri sconosciuti, raggiungibile da Impostazioni, Privacy, Chiamate. WhatsApp precisa che le chiamate provenienti da numeri sconosciuti continuano a comparire nell’elenco e nelle notifiche, ma non fanno squillare il telefono.

Non è una correzione del bug e non protegge da un chiamante già conosciuto; riduce però uno dei percorsi più semplici con cui una persona in possesso del dispositivo potrebbe generare autonomamente la chiamata necessaria.

Su alcuni telefoni si possono inoltre limitare le informazioni visualizzate nella schermata di blocco o modificare il comportamento delle notifiche e delle chiamate a schermo intero. Le opzioni variano in modo significativo tra Pixel, Samsung, Oppo e gli altri produttori.