WhatsApp'taki bir güvenlik açığı, kilitli telefonunuzdaki özel fotoğraflara herkesin erişmesine olanak tanıyor

Akıllı telefonunuzu kilitlediğinizde, kişisel dosyalarınızın ve fotoğraflarınızın başkaları tarafından tamamen erişilemez olmasını beklersiniz. Mobil işletim sistemleri, bu kurala doğal olarak birkaç güvenli istisna tanır; böylece parmak izi veya şifreye ihtiyaç duymadan gelen telefon çağrılarına cevap verebilir, bildirim özetlerini okuyabilir veya saati kontrol edebilirsiniz. Ancak, kişisel dosyalarınıza erişim, bu kolaylığın sona ermesi gereken yerdir. Şu anda Android için WhatsApp'ta bulunan alışılmadık bir güvenlik açığı, fotoğraflarınıza doğrudan erişim sağlayarak bu bariyeri tamamen ortadan kaldırmaktadır.

Görünüşe göre, WhatsApp görüntülü görüşmesi, cihazın kilidini açmadan Android telefonda depolanan özel fotoğraflara erişmek için istismar edilebiliyor. Bu, başka bir yerde oturan birinin internet üzerinden galeriye kolayca erişebileceği bir uzaktan saldırı değildir. Kişinin telefona fiziksel erişimi olması gerekir. Ancak telefona fiziksel erişim sağlandıktan sonra, gelen video görüşmesi, kilit ekranının normalde izin vereceğinden daha derine sızma imkânı sunar ve sonuçta bu kişiye kişisel fotoğraflarınızı taramak için tam erişim hakkı verir.

Süreç son derece basittir ve standart menü seçenekleri üzerinden ilerlediği için kesinlikle hiçbir teknik beceri gerektirmez. Kilitli bir Android cihaz WhatsApp video araması aldığında, telefonu elinde tutan herhangi bir kişi kaydırma hareketiyle aramayı cevaplayabilir. Video bağlantısı kurulduktan sonra, efekt simgesine dokunulduğunda efektler, filtreler ve arka planlar için sekmeler içeren bir menü açılır. Arayüz varsayılan olarak filtreler sekmesinde açılır; bu nedenle kullanıcının sadece arka plan bölümüne geçmesi yeterlidir. Buradan "Meta AI ile Oluştur" düğmesine tıklandığında, yeni bir görüntü oluşturma veya mevcut bir fotoğrafı düzenleme seçenekleri sunulur. "Fotoğrafı düzenle" seçeneğinin seçilmesi, standart güvenlik protokollerini tamamen devre dışı bırakır ve cihazın tüm fotoğraf galerisini anında açar. Bu güvenlik açığını, en son güvenlik yaması yüklü Android 17 işletim sistemini çalıştıran bir Pixel 6 Pro cihazında test ettik. Bu güvenlik açığı, tek bir güvenlik kontrolü gerektirmeden cihazda depolanan kişisel resimlere sınırsız erişim imkânı sağladı.

İlginç bir şekilde, farklı üreticiler kilit ekranı izinlerini kendi yöntemleriyle yönettikleri için bu güvenlik açığı tüm Android akıllı telefonlarda yaygın değildir. Örneğin, One UI 8.5 çalıştıran bir Samsung Galaxy S25 Ultra'da aynı istismarın test edilmesi, saldırıyı doğru bir şekilde engeller. Samsung cihazında Meta AI düğmesine tıklandığında kullanıcı anında kilit ekranına yönlendirilir ve şifre veya biyometrik tarama istenir. Ancak, bu atlatma yöntemi ColorOS 16 çalıştıran bir Oppo K13'te kusursuz bir şekilde işe yarıyor. Hem Samsung hem de Oppo telefonları Android 16 üzerinde çalıştığına göre, bu durum güvenlik açığının tamamen belirli markaların özel yazılım arayüzlerini nasıl oluşturduklarına bağlı olduğunu kanıtlıyor.

Android güvenliği üreticiye göre büyük ölçüde değişiklik gösterse de, Apple evrensel olarak katı bir yaklaşım benimsemektedir. Bu güvenlik açığı iPhone'larda tamamen yoktur, çünkü CallKit kısıtlamaları nedeniyle iOS'ta böyle bir durum asla meydana gelmez. Kilitli bir iPhone'a WhatsApp araması geldiğinde, CallKit çerçevesi devreye girer ve WhatsApp'ın özel ekranı yerine Apple'ın yerel hücresel arayüzünü görüntüler. Bu, arka plan değiştirme aracına erişimi tamamen engeller. Yerel resim galerisine ulaşmak için bir iOS kullanıcısı, cihazın kilidini açmak zorunda kalır. Bu katı ayrımın bulunmadığı Android cihazlardaki gizlilik riskinin ciddiyeti göz önüne alındığında, bu durum hem Meta hem de Google'a bildirildi; böylece kullanıcıların kişisel fotoğraflarının güvenliğini sağlamalarına yardımcı olacak resmi bir yama yayınlanabilir.