O WhatsApp transforma o PIN de seis dígitos da conta em uma senha

O WhatsApp anunciou três mudanças na segurança das contas em 25 de agosto. A que a maioria das pessoas notará está em um menu que preencheram uma vez e nunca mais acessaram: o PIN de seis dígitos por trás da verificação em duas etapas. Ele está se transformando em uma senha.

Seis dígitos são fáceis de adivinhar; oito caracteres, nem tanto

A verificação em duas etapas é a camada de proteção que se mantém quando outra pessoa obtém seu código SMS de uso único. Até agora, era um PIN de seis dígitos. O próprio blog do WhatsApp é excepcionalmente direto sobre como isso funcionava na prática: “Se você estava usando 123456, agora é um bom momento para atualizar.”

A substituição é uma senha. A captura de tela no anúncio do WhatsApp detalha as regras: pelo menos oito caracteres, pelo menos uma letra, pelo menos um número. Caracteres especiais são permitidos, mas não obrigatórios. Não se trata de um requisito muito exigente. Comparado aos seis dígitos, ainda é uma ordem de magnitude diferente.

A proteção visa um tipo específico de ataque. Qualquer pessoa que assuma o controle do seu número de telefone, seja por troca de chip (SIM swap) ou por meio de um número antigo que tenha sido repassado a outra pessoa, também receberá o código de uso único. Sem o segundo obstáculo, a conta é comprometida naquele exato momento.

Mais de uma senha de acesso, para usuários de Android e iPhone

O WhatsApp afirma que mais de um bilhão de pessoas já configuraram uma senha de segurança. Uma senha de segurança substitui códigos e PINs por uma impressão digital, Face ID ou o bloqueio de tela. A novidade é que uma conta pode ter mais de uma. Quem usa um celular Android junto com um iPhone antes precisava escolher um dos dois. A configuração fica em Configurações, Conta, Chaves de acesso.

As chaves de acesso são a parte que mais muda. Uma senha pode ser roubada por phishing, assim como um código de SMS. A parte privada de uma chave de acesso nunca sai do dispositivo, e é por isso que o phishing comum não tem sucesso com ela. Isso não elimina todas as vulnerabilidades: quem se apropriar indevidamente de uma sessão na qual o usuário já esteja conectado não precisa nem de uma senha nem de um segundo fator de autenticação.

O Android mostra de onde vem uma chamada desconhecida

A terceira mudança é exclusiva do Android. Quando um número que não está em seus contatos toca, o WhatsApp agora fornece contexto: o país ao qual o número pertence e se vocês dois fazem parte de algum grupo em comum. A imagem de exemplo no anúncio mostra um número de celular alemão identificado como “não está em seus contatos” e “vocês dois estão em 2 grupos”.

O objetivo é combater chamadas fraudulentas que se valem da pressão do tempo. O WhatsApp deixa claro: “Os golpistas apostam na urgência; portanto, reserve um momento para analisar essas informações adicionais antes de atender.” Trata-se de contexto, não de detecção. Verificar o que uma mensagem realmente diz é um teste à parte, e esse teste também se aplica apenas a desconhecidos.

O que fazer com isso

Os três recursos não serão lançados todos de uma vez. O WhatsApp os descreve em sua própria publicação como itens nos quais está “trabalhando”. Se a opção de senha não estiver disponível em seu aplicativo hoje, não há nenhum problema.

Quando ela estiver disponível, esta ordem faz sentido: configure primeiro a chave de acesso e, em seguida, mude a verificação em duas etapas para uma senha. E escolha uma senha que você realmente consiga lembrar. O WhatsApp solicita essa senha raramente, geralmente quando você faz login em um novo dispositivo — que é exatamente o momento em que o dispositivo antigo pode estar fora de alcance. O que mais ajuda quando você perde o acesso está descrito em outro artigo.