Un simple appel vidéo WhatsApp peut révéler vos photos sur un smartphone Android verrouillé

Un simple appel vidéo WhatsApp pourrait, dans certaines configurations, permettre d’afficher les photos stockées sur un smartphone Android sans saisir son code PIN ni utiliser la biométrie. La faille, révélée par un chercheur en sécurité et confirmée par Meta, nécessite toutefois un accès physique à l’appareil. Un correctif est déjà en cours de déploiement.

Verrouiller son smartphone est devenu un réflexe. Code PIN, mot de passe, schéma ou empreinte digitale : ces protections sont censées empêcher quiconque de consulter les données personnelles stockées sur l’appareil en cas de perte, de vol ou simplement lorsqu'un tiers met la main dessus. Mais une faille découverte dans WhatsApp vient rappeler qu'une application peut parfois créer une brèche dans cette protection.

Des chercheurs et utilisateurs ont en effet mis au jour une méthode permettant, dans certaines conditions, d'accéder à la galerie photo d'un smartphone Android alors que celui-ci est toujours verrouillé. La manipulation passe par WhatsApp et, surtout, par un appel vidéo entrant.

La découverte a été notamment mise en évidence par le chercheur en sécurité Jose Rodriguez. Elle ne nécessite ni logiciel malveillant, ni attaque à distance, ni connaissances particulières en informatique. En pratique, la personne qui souhaite exploiter la faille doit simplement disposer du téléphone pendant quelques instants et pouvoir initier un appel vidéo WhatsApp vers celui-ci.

Un appel vidéo suffit à ouvrir une porte vers la galerie

Le scénario est particulièrement préoccupant parce qu'il détourne une fonctionnalité parfaitement légitime de WhatsApp.

Lorsqu'un appel vidéo arrive, Android permet de répondre directement depuis l'écran verrouillé. L'utilisateur n'a normalement pas besoin de saisir son code ou de passer par l'authentification biométrique pour décrocher. C'est précisément à partir de cette interface que la faille peut être exploitée.

Une fois l'appel accepté, plusieurs options permettant de modifier l'apparence de l'appel vidéo sont accessibles. Parmi elles figurent les effets visuels et les outils de modification de l'arrière-plan. En naviguant dans ces menus, il est possible d'atteindre la fonction de création d'arrière-plan reposant sur l'intelligence artificielle de Meta.

C'est à ce moment que le comportement devient problématique.

En choisissant l'option permettant de modifier une photo existante, WhatsApp ouvre son sélecteur d'images. Or, dans certaines configurations, ce composant affiche alors les photos présentes sur le smartphone alors même que l'appareil est toujours protégé par son écran de verrouillage.

Autrement dit, le verrouillage du téléphone reste visuellement actif, mais la personne qui tient l'appareil peut néanmoins parcourir une partie de son contenu photographique.

La manipulation peut sembler relativement longue lorsqu'elle est détaillée étape par étape. Dans les faits, elle peut être réalisée en quelques secondes une fois que le chemin à suivre est connu. Et surtout, aucune compétence technique particulière n'est nécessaire.

Une faille qui ne permet pas de prendre le contrôle du smartphone

Il convient toutefois de ne pas présenter cette vulnérabilité comme un déverrouillage complet du téléphone.

La méthode décrite ne donne pas accès à l'ensemble du système Android. Elle ne permet pas, à elle seule, d'ouvrir les applications, de consulter les conversations, de modifier les paramètres ou de prendre le contrôle intégral de l'appareil.

Le problème concerne essentiellement l'accès au sélecteur de photos. Les images peuvent ainsi être affichées alors qu'elles devraient rester protégées par le verrouillage de l'appareil.

Cette limitation réduit considérablement le risque d'une attaque à grande échelle. Elle n'enlève cependant rien au caractère gênant de la faille, notamment pour les utilisateurs qui stockent sur leur smartphone des photos personnelles ou confidentielles.

Une personne ayant physiquement accès au téléphone pourrait par exemple consulter des clichés privés ou utiliser un autre appareil pour photographier l'écran. Dans certaines situations, quelques secondes d'accès au smartphone peuvent donc suffire à compromettre des informations que son propriétaire pensait protégées.

Le principal risque : l'accès physique au téléphone

C'est précisément sur ce point que Meta insiste. L'entreprise a reconnu l'existence du problème et indique avoir commencé à déployer un correctif. WhatsApp présente néanmoins la vulnérabilité comme un scénario relativement rare puisqu'il nécessite qu'une personne puisse avoir accès physiquement au smartphone de sa victime tout en étant capable de lui passer un appel vidéo.

Il ne s'agit donc pas d'une faille permettant à un pirate situé à distance d'ouvrir la galerie d'un téléphone connecté à Internet.

Cette distinction est essentielle. Un utilisateur qui se trouve chez lui, avec son smartphone constamment à portée de main, est beaucoup moins exposé qu'une personne qui laisse régulièrement son appareil sans surveillance.

Mais l'argument de l'accès physique ne suffit pas à faire disparaître le problème. Dans la vie quotidienne, un smartphone peut être confié quelques instants à un proche, posé sur une table dans un espace public ou laissé sans surveillance au travail. Dans certaines situations personnelles, cet accès peut également être beaucoup plus facile à obtenir que ne le laisse entendre la notion d'« attaque physique ».

Tous les smartphones Android ne semblent pas concernés de la même manière

Autre élément important : le comportement observé ne semble pas identique sur tous les smartphones Android.

Les différents tests rapportés autour de la faille font état de différences selon les constructeurs et leurs interfaces logicielles. Certains appareils, notamment plusieurs modèles utilisant des interfaces Android fortement personnalisées, semblent exposés tandis que d'autres redirigent l'utilisateur vers l'écran de verrouillage avant de permettre l'accès au sélecteur de photos.

Des appareils Google Pixel, Oppo et vivo ont notamment été cités dans les démonstrations et tests disponibles, tandis que certains smartphones Samsung équipés de One UI semblent mieux résister à la manipulation.

Ces différences illustrent surtout la complexité de la chaîne logicielle impliquée. Le problème ne repose pas nécessairement sur une seule fonction de WhatsApp : il semble également dépendre de la manière dont Android et les différentes interfaces constructeur gèrent les appels entrants, l'écran verrouillé et les composants permettant de sélectionner des fichiers multimédias.

Il est donc difficile d'étendre automatiquement le résultat d'un test réalisé sur un modèle à l'ensemble du parc Android.

Pourquoi l'intelligence artificielle de WhatsApp se retrouve au cœur du problème

La présence de l'outil d'intelligence artificielle dans le scénario peut sembler surprenante.

La fonction n'est évidemment pas conçue pour contourner le verrouillage d'Android. Elle permet notamment de générer ou de modifier des éléments visuels à partir de photos. Pour fonctionner, WhatsApp doit donc pouvoir ouvrir une interface permettant de sélectionner une image stockée sur l'appareil.

C'est précisément l'enchaînement entre cette fonction, le sélecteur de médias et l'interface accessible pendant un appel vidéo qui semble poser problème.

Le bug met ainsi en lumière un principe fondamental de la sécurité mobile : même lorsque le système d'exploitation est correctement verrouillé, une fonctionnalité accessible depuis l'écran verrouillé peut potentiellement exposer certaines données si les différentes couches logicielles ne vérifient pas correctement l'état d'authentification.

Les iPhone épargnés par cette vulnérabilité

Les utilisateurs d'iPhone semblent, pour leur part, ne pas être concernés par ce problème spécifique.

Sur iOS, la gestion des appels entrants diffère de celle observée sur les appareils Android concernés. L'interface téléphonique du système d'Apple prend notamment le dessus sur celle de WhatsApp, ce qui empêche la même séquence de manipulation d'aboutir.

La faille décrite ici reste donc liée à l'environnement Android et à certaines configurations particulières.

Cela ne signifie évidemment pas que les iPhone sont immunisés contre toutes les vulnérabilités liées à WhatsApp ou à l'accès aux photos. Il s'agit uniquement d'une différence concernant cette faille précise.

Meta a commencé à déployer un correctif

La bonne nouvelle est que le problème n'est pas resté sans réponse. WhatsApp a confirmé publiquement la vulnérabilité et indiqué qu'un correctif avait commencé à être déployé. Les utilisateurs devraient donc progressivement voir le problème disparaître à mesure que les versions corrigées de l'application deviennent disponibles.

Comme souvent avec les mises à jour de sécurité, le déploiement peut toutefois prendre du temps et ne pas être simultané pour tous les appareils et toutes les versions de l'application.

Il est donc recommandé de vérifier régulièrement la disponibilité d'une mise à jour de WhatsApp sur son smartphone Android et d'installer les nouvelles versions dès qu'elles sont proposées.

Une solution temporaire pour protéger ses photos

En attendant la généralisation du correctif, Android offre une possibilité permettant de réduire l'exposition des photos. Dans les paramètres du smartphone, il faut ouvrir la rubrique consacrée aux applications, sélectionner WhatsApp, puis accéder à Autorisations. Dans la section consacrée aux Photos et vidéos, certains appareils proposent l'option permettant d'autoriser à WhatsApp un accès limité aux images.

L'utilisateur peut alors sélectionner les photos ou les albums auxquels l'application est autorisée à accéder.

Cette solution permet de conserver les clichés les plus sensibles en dehors du périmètre accessible à WhatsApp. Elle présente toutefois un inconvénient : la restriction s'applique également à l'utilisation normale de l'application.

Une photo exclue de l'autorisation ne pourra donc pas non plus être sélectionnée facilement par son propriétaire lorsqu'il souhaitera l'envoyer dans une conversation WhatsApp.

Il s'agit par conséquent davantage d'une mesure de précaution temporaire que d'une solution définitive.

Une vulnérabilité à prendre au sérieux, sans céder à la panique

Cette faille illustre surtout les limites du modèle de sécurité des smartphones modernes. Un téléphone verrouillé ne signifie pas nécessairement que toutes ses fonctions sont totalement inaccessibles. Les systèmes mobiles doivent continuer à permettre certaines actions depuis l'écran verrouillé, notamment pour répondre à un appel, contrôler certaines fonctions ou afficher des notifications.

Ce sont ces interactions entre applications et système qui peuvent parfois créer des situations inattendues.

Dans le cas présent, le scénario reste fortement contraint : il faut disposer physiquement du téléphone, pouvoir appeler son propriétaire sur WhatsApp et utiliser une séquence précise de menus. Il ne s'agit donc pas d'un piratage massif permettant à distance de récupérer automatiquement les photos de millions d'utilisateurs.

La vulnérabilité n'en reste pas moins suffisamment sérieuse pour justifier l'installation rapide du correctif proposé par Meta.

En attendant, les utilisateurs qui prêtent régulièrement leur smartphone, qui manipulent des photos particulièrement sensibles ou qui souhaitent simplement réduire leur exposition peuvent limiter les autorisations accordées à WhatsApp et éviter de laisser leur téléphone sans surveillance.

Le principal enseignement est finalement assez simple : même derrière un écran verrouillé, certaines fonctions restent accessibles. Et lorsqu'une application peut interagir avec ces fonctions, une erreur dans cette chaîne de sécurité peut suffire à entrouvrir une porte que l'utilisateur pensait hermétiquement fermée.

 ~~~~~~~~

A lire aussi

• WhatsApp durcit sa sécurité : voici les nouveautés à connaître
• Cette alerte WhatsApp pourrait vous sauver d'une arnaque avant qu'il ne soit trop tard
• WhatsApp : ce paramètre activé par défaut peut exposer vos données et faciliter certaines arnaques

 ~~~~~~~~

 

Guides & Comparatifs France Mobiles

• Comparez les mobiles et les forfaits
• Suivez l'actualité en temps réel
• Fiches techniques de milliers de téléphones mobiles

 ~~~~~~~~