Nghe có vẻ như một cảnh trong phim gián điệp, nhưng đó lại là một thực tế khá đáng lo ngại đối với người dùng Android. Đã có sự phẫn nộ sau khi phát hiện ra lỗ hổng bảo mật trong WhatsApp , cho phép bất cứ ai tò mò (hoặc có ý đồ xấu) đều có thể xem trộm ảnh riêng tư của chúng ta, ngay cả khi điện thoại đã được khóa bằng mật mã.
Điều đáng ngạc nhiên nhất là chúng ta không nói về một vụ tấn công phức tạp với mã lập trình lạ hoặc phần mềm độc hại được cài đặt bí mật. Chúng ta đang đối phó với một lỗi quy trình trong ứng dụng cho phép người dùng vượt qua bảo mật mã PIN hoặc vân tay thông qua một loạt các bước rất đơn giản mà bất kỳ ai cũng có thể thực hiện nếu họ có điện thoại trong tay.
Cụ thể thì lỗ hổng bảo mật này bao gồm những gì?
Vấn đề này được nhà nghiên cứu bảo mật José Rodríguez, được biết đến trên mạng xã hội với tên @VBarraquito, phát hiện. Cụ thể, WhatsApp cho phép người dùng trả lời cuộc gọi video trực tiếp từ màn hình khóa . Sau khi cuộc gọi được thiết lập, người dùng có thể truy cập vào một số công cụ giao diện ứng dụng mà không cần phải mở khóa thiết bị.
Việc truy cập ảnh khá đơn giản: sau khi nhận cuộc gọi, chỉ cần vào menu hiệu ứng, điều hướng đến phần hình nền và chọn tùy chọn 'Tạo bằng Meta AI' . Trong công cụ này, mà bạn có thể so sánh với các tùy chọn khác trong bài so sánh Meta AI dành cho WhatsApp của chúng tôi , có một chức năng chỉnh sửa ảnh hiện có trên thiết bị của bạn. Nhấn vào đó sẽ mở toàn bộ thư viện ảnh mà không cần mật khẩu hoặc nhận diện khuôn mặt, cho phép bạn duyệt tất cả các ảnh đã lưu trữ.
Ai đang gặp nguy hiểm và ai được an toàn?
Điều thú vị nằm ở chỗ lỗi này không ảnh hưởng đến tất cả mọi người như nhau. Đây không phải là vấn đề chung của Android; mà phụ thuộc vào cách mỗi hãng quản lý quyền truy cập và bảo mật giao diện tùy chỉnh của họ khi điện thoại bị khóa.
- Các thiết bị dễ bị tổn thương: Vấn đề này đã được xác nhận xảy ra trên Google Pixel 6 Pro (ngay cả với Android 17 và các bản vá lỗi gần đây) và trên OPPO K13 với ColorOS 16.
- Các thiết bị được bảo vệ: Cụ thể với Samsung, trên Galaxy S25 Ultra chạy One UI 8.5, hệ thống phản hồi chính xác, đưa người dùng trở lại màn hình khóa. yêu cầu xác thực trước khi cho phép truy cập vào Meta AI.
- Trường hợp của Apple: Người dùng iPhone có thể thở phào nhẹ nhõm. Đó là vì iOS sử dụng CallKit để quản lý cuộc gọiĐiều này buộc người dùng phải sử dụng giao diện gốc của Apple và chặn quyền truy cập vào các công cụ nội bộ của WhatsApp cho đến khi điện thoại được mở khóa.
Những rủi ro thực tế và cách tránh chúng xảy ra với bạn
Điều quan trọng cần hiểu là đây không phải là một cuộc tấn công từ xa. Không ai có thể truy cập ảnh của bạn từ phía bên kia thế giới; để điều này hoạt động, kẻ tấn công cần có quyền truy cập vật lý vào điện thoại và số điện thoại của bạn để bắt đầu cuộc gọi video. Rủi ro này dễ xảy ra hơn trong môi trường thân thiết, chẳng hạn như với người quen hoặc đồng nghiệp, những người có quyền truy cập vào thiết bị của bạn khi bạn không để ý.
Điều nguy hiểm nhất là hành động này không để lại dấu vết . Không có bản ghi nào về các ứng dụng đã cài đặt hoặc cảnh báo bảo mật; đối với nạn nhân, đơn giản chỉ thấy rằng ai đó đã cố gắng thực hiện cuộc gọi video. Vì Meta và Google đã được thông báo nhưng chưa có bản vá chính thức nào, nên có cách để vô hiệu hóa rủi ro này bằng tay.
Giải pháp tạm thời hiệu quả nhất là vào cài đặt quyền trên điện thoại Android của bạn, tìm WhatsApp và thay đổi quyền truy cập ảnh và video thành "Cho phép truy cập hạn chế ". Bằng cách này, ứng dụng sẽ chỉ có thể xem được những hình ảnh bạn đã chọn trước đó, khiến việc Meta AI truy cập vào toàn bộ thư viện ảnh của bạn trở nên hoàn toàn vô dụng.
Sự cố này nhắc nhở chúng ta rằng bảo mật tuyệt đối không tồn tại và đôi khi một sơ suất nhỏ trong giao diện cũng có thể xâm phạm quyền riêng tư của chúng ta. Trong khi chờ đợi bản cập nhật Meta chính thức khắc phục lỗ hổng này, cách tốt nhất là giữ điện thoại của bạn tránh xa tầm tay của bên thứ ba và điều chỉnh quyền truy cập thư viện ảnh để yên tâm hơn.
