WhatsApp reforça segurança com várias passkeys e passwords a sério

O WhatsApp começou a ativar um conjunto de novidades de segurança que mexem com a base do serviço: como entras na conta e como decides se atendes uma chamada suspeita. Não é um cosmético de interface, é a Meta a admitir que o velho PIN de 6 dígitos e os códigos por SMS já não chegam para segurar 3 mil milhões de contas.

A primeira mudança é o suporte para múltiplas passkeys por conta. Já era possível usar dados biométricos ou o código de bloqueio do ecrã como chave segura, mas agora podes ter passkeys separadas para Android e iOS, em vez de um único par de chaves agarrado a um só dispositivo. Isto evita o circo de desativar e reativar a funcionalidade sempre que alternas entre telemóveis, e reduz o incentivo a ficar dependente de SMS, que continua a ser o elo fraco típico em ataques de troca de cartão SIM.

Em paralelo, o WhatsApp mexeu na verificação em duas etapas. Aquele PIN de 6 dígitos que muita gente punha como “123456” pode agora ser substituído por uma password alfanumérica, com letras e símbolos. É um passo óbvio e tardio, mas bem-vindo: um serviço com esta escala nunca devia ter tratado um código de 6 números como verdadeira segunda barreira. A responsabilidade continua do lado do utilizador, claro. Se trocares o PIN fraco por uma password fraca, o problema mantém-se, só com mais caracteres.

A terceira peça é menos técnica, mas ataca um problema bem real: chamadas de números desconhecidos usados em burlas. No Android, os ecrãs de chamada passam a mostrar mais contexto sobre quem está a ligar e não está na tua lista de contactos, incluindo se o número vem de outro país e se partilham grupos em comum. Não é uma análise mágica suportada por IA, é apenas dar informação suficiente para te permitir parar um segundo antes de atender alguém que se faz passar por banco, operadora ou “apoio técnico” improvisado.

Estas mudanças encaixam numa estratégia mais larga que o WhatsApp tem vindo a montar desde o início do ano para apertar o cerco a ataques mais sérios do que o típico phishing mal traduzido. Em janeiro surgiu o modo “Strict Account Settings”, uma espécie de modo de bloqueio ao estilo da Apple pensado para jornalistas, activistas e figuras públicas que são alvo de spyware e tentativas de intrusão mais sofisticadas. Em março, a Meta anunciou alertas quando alguém tenta ligar um novo dispositivo à tua conta de forma que pareça suspeita, um truque comum para sequestrar contas com QR codes maliciosos ou códigos de ligação pedidos por mensagem.

Mais recentemente, o WhatsApp começou também a testar um “Scam Alert” com um modelo de machine learning a correr localmente no telemóvel, que tenta sinalizar mensagens com ar de burla antes de caíres nelas. É a Meta a usar IA para apagar incêndios que, em boa parte, nascem da própria escala e do desenho de um serviço construído para ser simples primeiro e seguro depois. Com passkeys múltiplas, passwords decentes e mais contexto nas chamadas, a fasquia sobe. Agora o risco é outro: quem ignora estas opções continua tão exposto como antes. A tecnologia alinhou, o hábito é que vai ditar se isto passa de boas intenções a menos contas roubadas em grupos de família.

Fonte: BleepingComputer