Una videollamada entrante de WhatsApp puede dejar expuestas las fotos de algunos teléfonos Android aunque estén bloqueados. El recorrido permite abrir la galería sin introducir el PIN, la contraseña ni usar la huella o el reconocimiento facial. No es un ataque remoto: alguien debe tener el móvil en sus manos y recibir una llamada en ese momento.
El comportamiento no afecta necesariamente a todos los dispositivos. Se ha reproducido en un Google Pixel 6 Pro con Android 17 y el parche de seguridad más reciente, así como en un OPPO K13 con Android 16 y ColorOS 16. Un Samsung Galaxy S25 Ultra, también con Android 16 pero equipado con One UI 8.5, sí solicitó autenticación antes de mostrar las imágenes.
El salto comienza al responder desde la pantalla bloqueada
Para llegar a la galería, la persona que tiene acceso físico al teléfono debe responder la videollamada desde la pantalla de bloqueo. Después puede entrar en Efectos, abrir Fondos y seleccionar «Crear con Meta AI». Al escoger la opción para editar una fotografía existente, los móviles afectados muestran el contenido almacenado sin comprobar primero la identidad del usuario.
El acceso aparece dentro de una función legítima: elegir una imagen para modificarla o emplearla en una videollamada. WhatsApp está ampliando precisamente las posibilidades de edición con inteligencia artificial, entre ellas una herramienta de Meta AI para adaptar fotografías al formato 9:16. El riesgo aparece cuando ese selector de imágenes puede alcanzarse durante una sesión iniciada con el teléfono aún bloqueado.
La exposición puede incluir las fotos visibles desde el selector de WhatsApp, pero las comprobaciones disponibles no delimitan hasta dónde llega el acceso en cada marca o configuración. Los permisos concedidos a la aplicación, el selector de archivos utilizado y la forma en que cada fabricante protege la pantalla de bloqueo pueden cambiar el resultado.
Pixel y OPPO quedan expuestos, mientras Samsung exige autenticación
La diferencia entre los tres modelos impide tratarlo como un fallo universal de Android. Que el Galaxy S25 Ultra pida desbloquear el dispositivo apunta a que la implementación del fabricante o de su capa de software influye en el resultado. También podría intervenir la gestión de permisos de WhatsApp, aunque todavía no hay pruebas exhaustivas que separen todos esos factores.
Tampoco existe un listado oficial de móviles, versiones del sistema o combinaciones de ajustes vulnerables. No hay confirmación pública de Meta o Google, identificador CVE ni parche específico. Un CVE es el código común que se asigna a una vulnerabilidad reconocida para facilitar su seguimiento; su ausencia deja este problema sin una referencia técnica pública y estable.
Limitar el acceso de WhatsApp a las fotos reduce el riesgo
Mientras no haya un parche específico, la precaución más directa consiste en revisar el permiso de fotos y vídeos de WhatsApp. Si el móvil ofrece acceso limitado o permite escoger fotografías concretas, conviene evitar que la aplicación pueda consultar toda la biblioteca. En Android, este ajuste suele encontrarse en Información de la aplicación, Permisos y Fotos y vídeos, aunque los nombres cambian entre fabricantes.
La protección tiene un coste funcional: WhatsApp solo podrá utilizar las imágenes autorizadas y puede pedir acceso adicional al intentar enviar una fotografía, cambiar un fondo o usar herramientas de edición. Aun así, restringir la biblioteca reduce la cantidad de contenido que podría aparecer si alguien reproduce el recorrido desde una llamada entrante.
El contraste entre Pixel, OPPO y Samsung deja una advertencia práctica: tener Android y sus parches al día no garantiza que este recorrido quede bloqueado. En los modelos afectados, la barrera efectiva depende de cómo se conectan WhatsApp, el selector de fotografías y la autenticación del fabricante. Hasta que haya un parche identificable, reducir el permiso de la galería es la medida más útil para contener la exposición.
