Una aplicación Android sin permisos especiales puede detectar cuándo se envían, reciben o borran archivos multimedia de WhatsApp. Lo ha demostrado un equipo del Instituto de Seguridad de la Información de la Universidad Tecnológica de Graz (TU Graz), que publicó sus resultados el 28 de septiembre de 2026. La técnica permite reconstruir parte de esa actividad, pero no da acceso al contenido de los archivos ni de los mensajes.
El requisito es que la aplicación observadora esté instalada y ejecutándose en el mismo dispositivo. El hallazgo no describe una forma de vigilar una cuenta a distancia con solo conocer su número de teléfono: la observación se realiza desde otra app que ya está en el móvil.
Los nombres y las carpetas revelan la actividad
La prueba utiliza FileObserver, una herramienta de Android que avisa a las aplicaciones cuando se producen cambios en archivos o carpetas. Los investigadores comprobaron que podía observar eventos en la carpeta multimedia de WhatsApp pese al aislamiento entre aplicaciones que aplica FUSE, la capa que interviene en el acceso a esos archivos.
Las notificaciones incluyen nombres de archivo y momentos de actividad. Con esos datos es posible inferir el tipo de archivo y construir una cronología de fotos, vídeos o documentos. Además, WhatsApp guarda los archivos enviados en subcarpetas llamadas «Sent»: esa organización permite distinguir los envíos de las recepciones. La aplicación también detecta eventos cuando se elimina un archivo.
El riesgo afecta, por tanto, a la privacidad de la actividad multimedia. A diferencia del caso en el que una videollamada de WhatsApp permite abrir la galería en algunos Android bloqueados, esta técnica obtiene señales sobre los archivos sin mostrar las imágenes que contienen.
TU Graz indica que el equipo comunicó los hallazgos a los responsables de las plataformas afectadas antes de publicar la investigación, que abarca varios sistemas operativos. La mitigación parcial descrita corresponde a Linux y no constituye una corrección confirmada para Android.
