Android 鎖屏都未必安全？接 WhatsApp 視像來電後相簿或被打開【附 3 招即自保】

手機鎖上後，理論上其他人最多只能接電話、睇時間或查看部分通知；但近日有資安研究員揭示，一個與 WhatsApp 視像通話及 Meta AI 背景工具有關的鎖屏繞過問題，可能令持有人在毋須輸入密碼、指紋或 Face Unlock 的情況下，從通話介面一路進入手機相簿。

到底發生甚麼事？鎖屏通話介面成關鍵

正常情況下，Android 手機在鎖屏時會限制相簿及檔案存取權限。即使用家可以從鎖屏快捷方式開啟相機，通常也只可查看剛剛拍攝的內容，不能任意瀏覽完整相簿。

但資安研究員 Jose Rodriguez（X 帳號 @VBarraquito）指出，在部分 Android 手機上，鎖屏時接聽 WhatsApp 視像通話後，可由通話的特效及背景選單進入 Meta AI 的圖片編輯功能，繼而彈出系統相簿選擇介面。這個流程可能繞過一般應有的解鎖驗證，讓拿著手機的人瀏覽裝置內的相片。 

研究者形容，這不是需要安裝惡意程式或輸入特殊指令的傳統「黑客攻擊」，而是利用 WhatsApp 現有通話介面及特定 Android 鎖屏權限處理方式所產生的問題。由於涉及的是實體操作，最直接的風險情境包括：手機短暫借給陌生人、放在枱面、送去維修、遺失後仍未被遠端鎖定，或在朋友聚會中被人惡作劇拿走。

漏洞怎樣出現？毋須公開完整操作步驟

為免有人利用這個問題侵犯他人私隱，本文不會逐步列出可重現鎖屏繞過的完整操作方式。根據公開示範及報道，問題涉及以下幾個條件：

• 手機必須處於鎖屏狀態。
• 裝置需要收到並接聽 WhatsApp 視像通話。
• WhatsApp 需已獲得相片／媒體存取權限。
• 通話介面上的背景或 Meta AI 圖片創作功能，能夠在鎖屏狀態下進一步開啟系統相簿。
• 手機品牌及系統介面未有在進入相簿前強制要求密碼、生物辨識或重新解鎖。

換句話說，這不是「有人打電話給你，就可以遠端看到你相簿」的問題。對方仍然需要在你身邊、手持你的手機並操作裝置；但鎖屏原本應該阻止這類情況，因此一旦確實能進入相簿，仍然屬於嚴重私隱風險。 

先做 3 件事：Android 用家即時自保

1. 立即更新 WhatsApp 及 Android 系統

研究者已表示問題已向 Meta 及 Google 回報。建議 Android 用家先到 Google Play 檢查 WhatsApp 更新，並到「設定」→「系統」→「系統更新」或品牌的軟件更新頁面，確認已安裝最新安全更新。

這類問題能否被徹底修復，可能取決於 WhatsApp、Google 及各手機品牌的系統更新安排。即使 WhatsApp 更新完成，部分品牌可能仍需要透過系統修補鎖屏權限處理方式。

2. 檢查 WhatsApp 相片權限

如你平日只需要在 WhatsApp 傳送指定相片，不一定需要讓 App 長期存取全部媒體庫。可到 Android「設定」→「App」→「WhatsApp」→「權限」→「相片與影片」或「相片和影片」，檢查目前授權範圍。

不同 Android 版本及品牌的選項名稱會有差異，部分裝置可選擇「允許所有相片與影片」、「僅允許選取的相片與影片」或「不允許」。如你的手機支援「選取的相片」權限，可考慮改用較有限的授權範圍；但請注意，這可能令你日後在 WhatsApp 選取舊相片、影片或檔案時較不方便。

3. 不要讓陌生人單獨接觸已解鎖或鎖屏手機

今次問題需要實體持有手機才能觸發，因此最基本的防護仍然是不要將手機隨便交給陌生人。到店舖維修、充電、借用電話、寄存行李或在公共場所使用手機時，都應避免讓他人單獨持有裝置。

如手機遺失，應立即透過 Google「尋找我的裝置」啟用鎖定功能，必要時遠端清除資料；同時聯絡電訊商暫停 SIM 卡，以減少短訊驗證碼及帳戶被接管的風險。

哪些手機受影響？測試結果到這裡才開估

目前公開測試結果顯示，問題不是所有 Android 手機都會出現。關鍵在於不同品牌如何將 WhatsApp 的通話介面、鎖屏狀態及相片選擇器連接起來；即使同樣使用 Android 16，不同廠商亦可能有完全不同的結果。

必須強調，以上只代表目前公開示範及報道中涉及的個別型號與特定軟件版本，不代表其他 Pixel、OPPO、Samsung、vivo、小米、HONOR、Nothing、華為或其他 Android 品牌一定安全或一定受影響。軟件更新、地區版 WhatsApp 功能、帳戶是否有 Meta AI 選項、相簿權限及系統版本，均可能改變實際結果。

同時，這不是遠端黑客可隔空偷看相片的漏洞，而是對方必須實際拿到你的 Android 手機、在鎖屏狀態接聽 WhatsApp 視像來電，再完成多個介面操作。風險亦非所有 Android 手機相同，視乎手機品牌及系統如何處理鎖屏時的媒體存取權限。不過，如你曾讓 WhatsApp 取得完整相片存取權，建議即時更新 WhatsApp 及系統，並在陌生人可接觸手機時避免讓對方單獨持有裝置。

iPhone 為何暫時未見同類問題？

公開測試指出，iPhone 鎖屏時接到 WhatsApp 來電，系統會透過 Apple 的 CallKit 框架顯示原生通話介面，而不是讓 WhatsApp 在鎖屏狀態下完整開啟自家通話工具。要進入相簿或相關編輯功能，仍要先完成 Face ID、Touch ID 或密碼驗證，因此未出現相同的鎖屏繞過路徑。

不過，這不代表 iPhone 用家可以完全忽視實體私隱風險。鎖屏通知預覽、鎖屏時可用的控制中心功能、相機、Wallet 及 Siri 等設定，均應按個人需要調整。

再加 4 個鎖屏私隱設定

無論使用哪個品牌，以下設定都有助減少手機在鎖屏狀態下洩露資料：

Meta AI 功能未見？仍然要更新

部分香港 Android 用家未必在 WhatsApp 內看到完全相同的 Meta AI、背景或圖片創作選項，因為功能可能會按地區、帳戶、語言、WhatsApp 版本及伺服器端更新逐步推出。即使看不到相關按鈕，也不代表日後不會出現，或其他類似的鎖屏介面不會帶來風險。

因此，最實際做法仍然是維持 WhatsApp、Google Play 系統服務及 Android 系統更新，並按需要收緊 WhatsApp 的相片權限。當 Meta、Google 或手機品牌推出正式公告及修正檔後，應盡快安裝。

小結：不是遠端入侵，但實體私隱風險不容忽視

這次問題最容易被誤解成「任何人打一通 WhatsApp 視像電話，就能隔空偷看 Android 相簿」，事實並非如此。公開資料顯示，對方需要實際拿到手機、在鎖屏時接聽視像來電，並透過特定通話功能一路操作至相片選擇器。 

但鎖屏原本就是防止他人在未獲授權下進入私人資料的第一道防線，因此在某些裝置上，若通話介面可帶人繞過解鎖直接瀏覽相簿，仍然是值得正視的私隱漏洞。Android 用家現在最實際的做法，是更新 WhatsApp 與系統、限制不必要的相片權限、隱藏鎖屏通知，以及不要讓他人單獨接觸手機。

即刻【按此】，用 App 睇更多產品開箱影片。

Source：NotebookCheck、X @VBarraquito

【相關話題】WhatsApp 防帳戶被盜！官方加碼 3 大安全新功能 支援跨平台 Passkey＋防詐騙秘技

WhatsApp 用家注意！Meta 宣布推出 3 大 WhatsApp 安全新功能，進一步降低帳戶被盜及接聽詐騙電話的風險。其中最注目的是 WhatsApp 終支援多個 Passkey，讓同時使用 iPhone 和 Android 手機的朋友為 WhatsApp account 添加多個密碼。當然，雙重驗證功能及 WhatsApp Call 接聽提示都是不可多得的保安功能的。

↓點擊圖片放大↓

+2

Source：ezone.hk

【相關話題】【WhatsApp個人ID教學】專屬Username搶註專屬靚名 教4步設定隱藏私人電話號碼防詐騙

平時鍾意喺 Carousell 交收、網購或者加入唔同著數群組，每次要俾 WhatsApp 電話號碼都令你極之猶豫？始終電話號碼綁定咗太多網銀同 PayMe 私隱，一俾號碼就等同向陌生人暴露身份！好消息！Meta 官方正式宣佈全面開放 WhatsApp 使用者名稱全球預留登記，以後交換專屬 ID 就能直接聊天，徹底達成隱藏電話號碼嘅神級防護！本文為你帶來超簡單 4 步 WhatsApp 預留用戶名教學，加碼拆解全新自選 4 位數密鑰 UsernameKey 設定。唔想自己個獨特靚名俾人秒殺搶走？即入內文自查！

↓點擊圖片放大↓

+3

+2

Source：ezone.hk