Es gibt viele Wege.
Man kann die Pakete, die durch dein Netzwerk (Wlan) fliegen, abfangen und auslesen.
https://de.wikipedia.org/wiki/Sniffer
Man kann mit der IMEI (des Opfers) Nachrichten empfangen und senden.
http://security.haberland.it/tutorials-anleitungen-erlauterungen-durchfuehrung/whatsapp-knackpunkt-verschluesselung-hacken/whatsapp-hacking/comment-page-7/
Man kann sich durch das Herunterladen und installieren von dubiosen und unseriösen Apps oft und schnell Trojaner einfangen.
https://www.chip.de/news/Android-Trojaner-zapft-Messenger-an-Kostenlose-Apps-bieten-Schutz_137036057.html
Man kann archivierte Chats aus den privaten Google Accounts entnehmen.
https://faq.whatsapp.com/de/android/28000011/?category=5245251
Man kann per WhatsApp-Web ebenfalls Zugriff auf das Handy erlangen, merkt man aber schnell, denn das Handy wird dir anzeigen dass es mit einem Browser verbunden ist.
Ich schätze aber mal eher, dass man sich mit Apps infiziert. Ich meine, keine Taschenrechner-App auf dieser Welt brauch Zugriff auf deine Galerie oder Kamera.
Um dich präventiv zu schützen: Achte beim installieren darauf, was die App an Berechtigungen verlangt. Lade und installiere keine .apk Datein aus dem Internet.
Wer sich ganz sicher gehen möchte, dass er frei von Schadsoftware ist, setzt sein Telefon neu auf. Es gibt aber an sich viele nützliche Beiträge, Apps und Videos im Internet um das Handy ordentlich zu durchleuchten.