Crédito: Mixvale.com.br
Uma vulnerabilidade de segurança foi identificada no aplicativo WhatsApp em dispositivos Android, permitindo o acesso a mídias como fotos e vídeos armazenadas no telefone, mesmo com a tela bloqueada. A brecha se manifesta especificamente durante o recebimento de uma chamada de vídeo no mensageiro, conforme demonstrado por um especialista em cibersegurança.
Este método de exploração dispensa por completo a necessidade de senhas numéricas, padrões de desbloqueio ou autenticação biométrica do Android. No momento em que uma ligação de vídeo aparece na tela travada do WhatsApp, uma sobreposição de interfaces permite navegar por conteúdos antes protegidos nas galerias de mídias, contornando as defesas habituais do sistema.
É importante notar que esta falha operacional não pode ser ativada remotamente através da internet. Testes técnicos conduzidos em 3 de setembro confirmaram que invasores não conseguem explorar essa brecha sem ter o smartphone fisicamente em suas mãos.
Tentativas de interceptar informações sem acesso físico ao aparelho resultam em falha total na exploração via WhatsApp. Embora a exigência de posse física restrinja o alcance da vulnerabilidade no Android, ela intensifica os riscos em cenários de perda do dispositivo ou de crimes como roubo e furto. Se um indivíduo mal-intencionado estiver com o celular no instante exato de uma chamada de vídeo, os mecanismos de segurança podem ser desativados, expondo dados pessoais.
Os exames técnicos revelaram que a origem da falha está na maneira como as interfaces gráficas do Android se sobrepõem quando o WhatsApp processa uma comunicação audiovisual recebida.
Durante uma chamada de vídeo, a interação do WhatsApp com o gerenciador de janelas do Android ocorre de forma desorganizada. Ao aceitar a transmissão de vídeo com o bloqueio de tela ativo, o sistema permite o acesso direto às galerias de fotos e vídeos, ignorando as credenciais de autenticação estabelecidas pelo usuário, conforme observado nos testes de 3 de setembro.
A inoperância das defesas biométricas concede acesso irrestrito aos arquivos pessoais guardados na pasta do WhatsApp no armazenamento do Android. Esta característica técnica impede que a tela de bloqueio cumpra sua função primordial de impedir a visualização de informações sensíveis por terceiros não autorizados. Os experimentos indicaram que a manipulação do aparelho enquanto a chamada está ativa cria caminhos alternativos para os arquivos de imagem.
É crucial destacar que a exploração desta vulnerabilidade exige que a chamada de vídeo seja atendida diretamente na tela do dispositivo Android. Caso a ligação não seja aceita manualmente com o visor bloqueado, o invasor não conseguirá acessar os arquivos do WhatsApp.
O especialista observou que o procedimento requer uma sincronia precisa entre a realização da chamada e a interação com os comandos na tela de bloqueio do Android. Se o telefone permanecer sem manuseio, como em uma mesa ou no bolso, sem que a chamada seja atendida, as imagens do WhatsApp permanecem protegidas. A brecha de segurança só se manifesta no instante da transição entre as interfaces do aplicativo de mensagens.
Cenários de extravio ou roubo de um celular intensificam significativamente o risco de exposição de mídias guardadas no WhatsApp. Com um aparelho Android em posse de terceiros, qualquer pessoa pode iniciar uma chamada de vídeo para o número do dispositivo e, ao atender, explorar a sobreposição de interfaces para visualizar os arquivos, sem a necessidade da senha do proprietário.
As avaliações realizadas em 3 de setembro reiteram que comandos enviados via internet são ineficazes contra as proteções do Android neste contexto.
Esta falha de segurança restringe-se à interface visual exibida durante uma chamada de vídeo do WhatsApp, não afetando acessos remotos nem possibilitando o controle do smartphone por comandos à distância. O risco surge das lacunas na transição de tela do aplicativo em dispositivos Android. Se alguém não autorizado estiver com o aparelho no momento de receber a chamada, as fotos e vídeos do WhatsApp podem ser visualizados sem exigir autenticação.
As medidas de segurança biométrica permanecem desativadas durante a execução desta brecha no Android. O processo observado em 3 de setembro evidenciou que a sobreposição de janelas consegue contornar integralmente os bloqueios de acesso do WhatsApp no instante da interação por vídeo.
