WhatsApp trasforma il PIN a sei cifre dell’account in una password

Il 25 agosto WhatsApp ha annunciato tre modifiche relative alla sicurezza degli account. Quella che la maggior parte delle persone noterà si trova in un menu che hanno compilato una sola volta e che non hanno più toccato: il PIN a sei cifre alla base della verifica in due passaggi. Si sta trasformando in una password.

Sei cifre sono facili da indovinare, otto caratteri lo sono meno

La verifica in due passaggi è il livello di protezione che entra in gioco quando qualcun altro entra in possesso del vostro codice SMS monouso. Fino ad ora si trattava di un PIN a sei cifre. Il blog ufficiale di WhatsApp è insolitamente schietto su come la cosa funzionasse nella pratica: «Se utilizzavate 123456, questo è il momento giusto per aggiornarlo».

Il sostituto è una password. Lo screenshot contenuto nell’annuncio di WhatsApp illustra chiaramente le regole: almeno otto caratteri, almeno una lettera, almeno un numero. I caratteri speciali sono ammessi ma non obbligatori. Non si tratta di un requisito elevato. Rispetto alle sei cifre, si tratta comunque di un ordine di grandezza diverso.

La protezione mira a contrastare un tipo specifico di attacco. Chiunque si appropri del Suo numero di telefono, tramite lo scambio della SIM o tramite un vecchio numero che è stato ceduto a qualcun altro, riceve anch’esso il codice monouso. Senza questo secondo ostacolo, l’account viene compromesso in quel preciso istante.

Più di una passkey, sia per gli utenti Android che per quelli iPhone

WhatsApp afferma che oltre un miliardo di persone ha configurato una chiave di accesso. Una chiave di accesso sostituisce codici e PIN con l’impronta digitale, Face ID o il blocco dello schermo. La novità è che un account può contenerne più di una. Chiunque utilizzasse un telefono Android insieme a un iPhone in precedenza doveva scegliere da che parte stare. L’impostazione si trova in Impostazioni, Account, Passkey.

Le passkey sono l’elemento che cambia maggiormente. Una password può essere oggetto di phishing, così come un codice SMS. La parte privata di una passkey non lascia mai il dispositivo, motivo per cui il phishing tradizionale non ha alcuna efficacia in questo caso. Ciò non colma tuttavia tutte le lacune: chiunque dirotta una sessione in cui avete già effettuato l’accesso non necessita né di una password né di un secondo fattore di autenticazione.

Android mostra la provenienza di una chiamata sconosciuta

La terza modifica riguarda esclusivamente Android. Quando squilla un numero che non è presente nei Suoi contatti, WhatsApp ora fornisce ulteriori informazioni: il Paese a cui appartiene il numero e se Lei e l’interlocutore fate parte di qualche gruppo in comune. L’immagine di esempio nell’annuncio mostra un numero di cellulare tedesco contrassegnato come «non presente nei Suoi contatti» e «siete entrambi in 2 gruppi».

L’obiettivo è contrastare le chiamate truffaldine che sfruttano la pressione del tempo. WhatsApp lo afferma chiaramente: «I truffatori fanno leva sull’urgenza, quindi si prenda un momento per valutare queste informazioni aggiuntive prima di rispondere». Si tratta di contesto, non di rilevamento. Verificare il contenuto effettivo di un messaggio è un controllo a sé stante, che riguarda esclusivamente gli sconosciuti.

Cosa fare al riguardo

Le tre funzionalità non saranno disponibili tutte contemporaneamente. WhatsApp le descrive nel proprio post come elementi su cui sta «lavorando». Se oggi l’opzione della password non è presente nella vostra app, non c’è nulla di sbagliato.

Una volta che sarà disponibile, questo ordine è consigliabile: impostate prima la passkey, poi passate alla verifica in due passaggi tramite password. E ne scelga una che sarà effettivamente in grado di ritrovare. WhatsApp la richiede raramente, solitamente quando si effettua l’accesso su un nuovo dispositivo, che è esattamente il momento in cui quello vecchio potrebbe essere fuori portata. Ciò che può essere d’aiuto in caso di perdita dell’accesso è descritto in un articolo a parte.