Wprowadzenie do problemu / definicja
WhatsApp rozszerza mechanizmy ochrony kont, stawiając na uwierzytelnianie odporne na phishing oraz ograniczenie ryzyka przejęcia konta. Kluczową rolę odgrywają passkeys, czyli klucze dostępu powiązane z zabezpieczeniami urządzenia, takimi jak biometryka lub kod blokady ekranu.
Nowe funkcje obejmują także wzmocnioną weryfikację dwuetapową oraz dodatkowy kontekst dla połączeń od nieznanych numerów. To element szerszego trendu odchodzenia od tradycyjnych haseł i kodów jednorazowych na rzecz bezpieczniejszych metod potwierdzania tożsamości.
W skrócie
- Ponad miliard użytkowników WhatsApp aktywowało passkeys do logowania i odzyskiwania dostępu do konta.
- Komunikator pozwala teraz dodać więcej niż jeden passkey do tego samego konta.
- Dotychczasowy 6-cyfrowy PIN w two-step verification jest zastępowany pełnym hasłem.
- Na Androidzie pojawia się rozszerzony kontekst dla połączeń od numerów spoza kontaktów, w tym informacje o kraju pochodzenia i wspólnych grupach.
Kontekst / historia
W ostatnich latach branża bezpieczeństwa konsekwentnie odchodzi od modeli opartych wyłącznie na hasłach i jednorazowych kodach SMS. Powodem jest rosnąca skala phishingu, przejmowania numerów telefonów oraz socjotechniki nakierowanej na wyłudzenie danych logowania.
Do tej pory ochrona kont WhatsApp opierała się głównie na numerze telefonu, kodach rejestracyjnych oraz opcjonalnym 6-cyfrowym PIN-ie. Choć taki model zapewniał dodatkową warstwę zabezpieczeń, nadal pozostawiał przestrzeń dla ataków wykorzystujących słabe PIN-y, przejęcie numeru czy manipulację użytkownikiem.
Analiza techniczna
Passkeys w WhatsApp działają jako poświadczenia kryptograficzne powiązane z konkretnym urządzeniem użytkownika. Zamiast wpisywania sekretu, uwierzytelnienie odbywa się przez lokalne potwierdzenie tożsamości, na przykład odciskiem palca, rozpoznaniem twarzy lub kodem odblokowania ekranu.
Z punktu widzenia bezpieczeństwa to istotna zmiana, ponieważ ogranicza skuteczność klasycznych kampanii phishingowych. Atakujący nie może łatwo nakłonić ofiary do ujawnienia passkey w taki sam sposób, jak w przypadku hasła czy kodu jednorazowego.
Znaczącym rozszerzeniem jest obsługa wielu passkeys dla jednego konta. To ważne zwłaszcza dla użytkowników korzystających równocześnie z Androida i iPhone’a, ponieważ zmniejsza zależność od jednego urządzenia i poprawia odporność procesu odzyskiwania dostępu.
Druga istotna zmiana dotyczy weryfikacji dwuetapowej. Rezygnacja z krótkiego, 6-cyfrowego PIN-u na rzecz pełnego hasła zwiększa liczbę możliwych kombinacji i podnosi koszt skutecznego ataku. Hasło zawierające litery, cyfry i znaki specjalne jest trudniejsze do odgadnięcia i mniej podatne na przewidywalne schematy wyboru.
WhatsApp rozwija również warstwę antyfraudową. Na Androidzie użytkownik otrzyma dodatkowe informacje przy połączeniach od numerów spoza kontaktów, w tym dane o kraju pochodzenia numeru oraz ewentualnych wspólnych grupach. Taki kontekst może pomóc szybciej ocenić, czy połączenie wygląda wiarygodnie, czy może stanowi próbę oszustwa.
Konsekwencje / ryzyko
Dla użytkowników indywidualnych aktualizacja oznacza lepszą ochronę przed phishingiem, wyłudzeniem kodów rejestracyjnych oraz przejęciem konta. Passkeys redukują powierzchnię ataku związaną z kradzieżą poświadczeń, a silniejsze hasło w ramach two-step verification utrudnia obejście dodatkowej warstwy zabezpieczeń.
Z perspektywy firm i instytucji korzystających z WhatsApp w komunikacji operacyjnej nowe mechanizmy mają szczególne znaczenie. Przejęcie konta służbowego może prowadzić do wycieku informacji, podszywania się pod pracowników, rozsyłania fałszywych poleceń lub eskalacji oszustw typu vishing i BEC.
Nie oznacza to jednak całkowitego wyeliminowania ryzyka. Jeśli urządzenie końcowe zostanie przejęte, zainfekowane lub odblokowane przez osobę nieuprawnioną, część korzyści wynikających z passkeys może zostać osłabiona. Nowe funkcje należy więc traktować jako ważny element strategii defense-in-depth, a nie pojedyncze remedium na wszystkie zagrożenia.
Rekomendacje
Użytkownicy powinni możliwie szybko aktywować passkeys i skonfigurować więcej niż jeden klucz dostępu, jeśli korzystają z kilku urządzeń lub platform. Warto również zastąpić prosty PIN silnym, unikalnym hasłem w ustawieniach weryfikacji dwuetapowej.
- Zaktualizować WhatsApp do najnowszej wersji.
- Włączyć passkeys i skonfigurować je na więcej niż jednym urządzeniu.
- Ustawić silne hasło w mechanizmie two-step verification.
- Stosować blokadę ekranu, biometrię i podstawowe zasady ochrony urządzeń mobilnych.
- Szkolić użytkowników z rozpoznawania prób socjotechniki i vishingu.
- Monitorować incydenty związane z przejęciem numeru telefonu i nieautoryzowaną rejestracją kont.
Dla zespołów bezpieczeństwa oznacza to również potrzebę uwzględnienia komunikatorów mobilnych w politykach IAM i mobile security. Nawet jeśli takie aplikacje nie są formalnie częścią infrastruktury tożsamości, w praktyce stają się kanałem komunikacji o wysokiej wartości operacyjnej i reputacyjnej.
Podsumowanie
WhatsApp wykonuje istotny krok w kierunku bezpieczniejszego modelu ochrony kont, łącząc passkeys, mocniejszą weryfikację dwuetapową oraz elementy ograniczające skuteczność socjotechniki. Przekroczenie poziomu miliarda użytkowników korzystających z passkeys pokazuje, że uwierzytelnianie odporne na phishing staje się rozwiązaniem masowym, a nie wyłącznie niszową funkcją bezpieczeństwa.
Dla użytkowników i organizacji to dobra okazja do podniesienia poziomu ochrony kont oraz ograniczenia ryzyka przejęcia tożsamości w jednym z najpopularniejszych komunikatorów na świecie.
Źródła
- WhatsApp Blog — One billion people are now protected with passkeys on WhatsApp, plus more account security features — https://blog.whatsapp.com/one-billion-people-are-now-protected-with-passkeys-on-whatsapp-plus-more-account-security-features
- Security Affairs — WhatsApp Adds Stronger Security as Passkeys Hit 1 Billion — https://securityaffairs.com/197837/security/whatsapp-adds-stronger-security-as-passkeys-hit-1-billion.html
- WhatsApp Help Center — How to manage two-step verification settings — https://faq.whatsapp.com/1920866721452534/
- WhatsApp Help Center — About two-step verification — https://faq.whatsapp.com/1278661612895630/