WhatsApp zamienia sześciocyfrowy kod PIN konta na hasło

25 sierpnia serwis WhatsApp ogłosił trzy zmiany dotyczące bezpieczeństwa kont. Ta, którą większość użytkowników zauważy, znajduje się w menu, które wypełnili tylko raz i do którego nigdy więcej nie zaglądali: sześciocyfrowy kod PIN stosowany w ramach weryfikacji dwuetapowej. Zmienia się on w hasło.

Sześć cyfr da się odgadnąć, osiem znaków już trudniej

Weryfikacja dwuetapowa stanowi zabezpieczenie na wypadek, gdyby ktoś inny wszedł w posiadanie Państwa jednorazowego kodu SMS. Do tej pory był to sześciocyfrowy kod PIN. Na swoim blogu WhatsApp niezwykle dosadnie opisuje, jak to wyglądało w praktyce: „Jeśli używali Państwo kodu 123456, teraz jest dobry moment, aby go zmienić”.

Zastąpi go hasło. Zrzut ekranu zamieszczony w ogłoszeniu WhatsAppa jasno określa zasady: co najmniej osiem znaków, co najmniej jedna litera, co najmniej jedna cyfra. Znaki specjalne są dozwolone, ale nie są wymagane. Nie jest to wysoki próg. W porównaniu z sześciocyfrowym kodem nadal stanowi to różnicę rzędu wielkości.

Zabezpieczenie to ma na celu ochronę przed jednym konkretnym rodzajem ataku. Każdy, kto przejmie Państwa numer telefonu – poprzez podmianę karty SIM lub poprzez stary numer, który został przekazany innej osobie – otrzyma również kod jednorazowy. Bez tej drugiej bariery konto zostanie utracone w tej samej chwili.

Więcej niż jeden klucz dostępu – zarówno dla użytkowników Androida, jak i iPhone’a

WhatsApp podaje, że ponad miliard osób skonfigurowało klucz dostępu. Klucz dostępu zastępuje kody i kody PIN odciskiem palca, funkcją Face ID lub blokadą ekranu. Nowością jest to, że na jednym koncie można mieć więcej niż jeden klucz. Każdy, kto korzystał zarówno z telefonu z systemem Android, jak i z iPhone’a, musiał dotychczas wybrać jedną z opcji. Opcja ta znajduje się w menu Ustawienia, Konto, Klucze dostępu.

Klucze dostępu to element, który uległ największym zmianom. Hasło może paść ofiarą phishingu, podobnie jak kod SMS. Prywatna część klucza dostępu nigdy nie opuszcza urządzenia, dlatego zwykłe ataki phishingowe nie przynoszą w tym przypadku żadnego skutku. Nie eliminuje to jednak wszystkich luk: osoba, która przejmie sesję, w której są Państwo już zalogowani, nie potrzebuje ani hasła, ani drugiego czynnika uwierzytelniającego.

System Android pokazuje, skąd pochodzi nieznane połączenie

Trzecia zmiana dotyczy wyłącznie systemu Android. Gdy dzwoni numer, którego nie ma w Państwa kontaktach, aplikacja WhatsApp dodaje teraz informacje kontekstowe: kraj, z którego pochodzi numer, oraz informację, czy obie osoby należą do jakichkolwiek wspólnych grup. Przykładowy obrazek w ogłoszeniu przedstawia niemiecki numer telefonu komórkowego z adnotacją „nie ma w Państwa kontaktach” oraz „oboje należą Państwo do 2 grup”.

Ma to na celu przeciwdziałanie oszukańczym połączeniom, które wykorzystują presję czasu. WhatsApp wyraża to jasno: „Oszuści wykorzystują poczucie pilności, więc przed odebraniem poświęć chwilę na zapoznanie się z tymi dodatkowymi informacjami”. Jest to informacja kontekstowa, a nie wykrywanie oszustw. Sprawdzanie rzeczywistej treści wiadomości stanowi odrębny test, który dotyczy wyłącznie nieznajomych.

Co z tym zrobić

Te trzy funkcje nie zostaną wprowadzone jednocześnie. WhatsApp opisuje je we własnym poście jako elementy, nad którymi „obecnie pracuje”. Jeśli opcja hasła nie jest jeszcze dostępna w Państwa aplikacji, nie oznacza to żadnej usterki.

Gdy już się pojawi, warto postępować w następującej kolejności: najpierw skonfiguruj klucz dostępu, a następnie przełącz weryfikację dwuetapową na hasło. Proszę wybrać hasło, które rzeczywiście będzie Pan/Pani w stanie odzyskać. WhatsApp rzadko prosi o jego podanie – zazwyczaj dzieje się to podczas logowania na nowym urządzeniu, czyli dokładnie w momencie, gdy stare urządzenie może być poza zasięgiem. O tym, co jeszcze może pomóc w przypadku utraty dostępu, napisano w osobnym artykule.