WhatsApp zmienia zabezpieczenia kont. Powinieneś to od razu zmienić

Weryfikacja dwuetapowa w WhatsAppie działa bez zmian od 2017 roku i od tego czasu obowiązywała jedna zasada: sześć cyfr, nic więcej. Meta w końcu to zmienia i pozwala ustawić prawdziwe hasło. Brzmi to jak drobnost, ale to właśnie ten kod stoi między atakującym a Twoim kontem w momencie, gdy ktoś próbuje przerejestrować Cię na swój telefon.

Co dokładnie się zmienia

Dotychczasowy PIN zastępuje pełnoprawne hasło, które może być dłuższe, zawierać litery i cyfry, a także nowe znaki specjalne, takie jak małpa czy dolar. Warunkiem jest co najmniej osiem znaków, w tym co najmniej jedna litera i jedna cyfra, symbole są opcjonalne.

Dlaczego to ma sens? Sześć cyfr daje milion możliwych kombinacji, co brzmi dużo, ale w rzeczywistości to mało na atak brute force. Co gorsza, ludzie zazwyczaj wybierają jako PIN datę urodzenia lub najbardziej oklepaną sekwencję, jaką można sobie wyobrazić. Meta jest tego najwyraźniej świadoma – w ogłoszeniu sama zauważa, że jeśli do tej pory używałeś 123456, to jest Twój moment.

Jak właściwie działa weryfikacja dwuetapowa w WhatsAppie

Gdy ktoś chce zarejestrować Twoje konto na innym telefonie, otrzymasz jednorazowy kod SMS. Gdyby atakujący go zdobył – na przykład dlatego, że telefon na chwilę zniknął Ci z oczu lub wyłudził kod za pomocą inżynierii społecznej – weryfikacja dwuetapowa jest ostatnią przeszkodą. Bez znajomości kodu PIN, a właściwie nowego hasła, nie przejdzie przez nią.

Funkcja nadal jest opcjonalna, co jest szkoda. Ustawisz ją w ustawieniach WhatsAppa w sekcji Konto, a jeśli jeszcze nigdy jej nie włączyłeś, teraz jest na to odpowiedni moment.

Miliard ludzi i klucze dostępu

Druga nowość dotyczy kluczy dostępu, czyli tak zwanych passkeys, które WhatsApp obsługuje od 2024 roku. Meta przy tej okazji ogłosiła, że korzysta z nich już ponad miliard ludzi. Nowo do jednego konta możesz podłączyć kilka kluczy jednocześnie – przydatne dla każdego, kto przełącza się między Androidem a iPhonem lub używa wielu urządzeń.

Klucze dostępu są bezpieczniejsze niż hasła, ponieważ nigdzie nie są wysyłane. Logujesz się odciskiem palca, twarzą lub blokadą ekranu, a atakujący nie ma nic do przechwycenia ani wyłudzenia. Dodatkowo, na Androidzie WhatsApp dodał więcej informacji o dzwoniących, których nie masz w kontaktach – jeszcze przed odebraniem zobaczysz kontekst rozmowy, co ma pomóc w rozpoznaniu oszustów.

Do czego silne hasło nie wystarczy

Jedną rzecz trzeba powiedzieć głośno: nawet najlepsze hasło nie ochroni Cię przed oszustwami z połączonymi urządzeniami. Jeśli sam zeskanujesz kod QR lub potwierdzisz sparowanie, które ktoś Ci podsunie, atakujący uzyska dostęp do Twoich wiadomości niezależnie od tego, jak skomplikowany kod masz ustawiony.

Dlatego warto od czasu do czasu sprawdzić listę połączonych urządzeń w ustawieniach i wylogować te, których nie rozpoznajesz. A co najważniejsze: nigdy nie potwierdzaj parowania, o które sam nie prosiłeś, niezależnie od tego, kto Ci je wysyła.

Czy w ogóle masz włączoną weryfikację dwuetapową w WhatsAppie?

Źródła: 9to5Google, TechCrunch, Engadget, BleepingComputer