WhatsApp verandert de zescijferige pincode van een account in een wachtwoord

WhatsApp heeft op 25 augustus drie wijzigingen in de accountbeveiliging aangekondigd. De wijziging die de meeste mensen zullen opmerken, bevindt zich in een menu dat zij eenmalig hebben ingevuld en daarna nooit meer hebben aangeraakt: de zescijferige pincode achter de tweestapsverificatie. Deze wordt nu een wachtwoord.

Zes cijfers zijn te raden, acht tekens minder

Tweestapsverificatie is de beveiligingslaag die standhoudt wanneer iemand anders uw eenmalige SMS-code in handen krijgt. Tot nu toe was dit een zescijferige pincode. Op de eigen blog van WhatsApp wordt ongewoon duidelijk aangegeven hoe dat in de praktijk verliep: „Als u 123456 gebruikte, is dit een goed moment om uw code aan te passen.”

De vervanging is een wachtwoord. De schermafbeelding in de aankondiging van WhatsApp zet de regels uiteen: minimaal acht tekens, minimaal één letter, minimaal één cijfer. Speciale tekens zijn toegestaan, maar niet verplicht. Dat is geen hoge drempel. Vergeleken met zes cijfers is het nog steeds een andere orde van grootte.

De beveiliging is gericht op één specifieke aanval. Iedereen die uw telefoonnummer overneemt, via SIM-swapping of via een oud nummer dat aan iemand anders is overgedragen, ontvangt ook de eenmalige code. Zonder de tweede beveiligingslaag is het account op dat moment verloren.

Meer dan één toegangscode, voor zowel Android- als iPhone-gebruikers

WhatsApp meldt dat meer dan een miljard mensen een toegangscode hebben ingesteld. Een toegangscode vervangt codes en pincodes door een vingerafdruk, Face ID of de schermvergrendeling. Nieuw is dat een account er meer dan één kan bevatten. Wie zowel een Android-telefoon als een iPhone gebruikt, moest voorheen een keuze maken. De instelling vindt u onder Instellingen, Account, Toegangscodes.

Toegangscodes zijn het onderdeel dat het meest verandert. Een wachtwoord kan worden gestolen via phishing, net als een SMS-code. Het vertrouwelijke deel van een passkey verlaat het apparaat nooit, waardoor gewone phishing hiermee geen kans maakt. Dat dicht echter niet alle mazen: wie een sessie kaapt waarin u al bent ingelogd, heeft noch een wachtwoord, noch een tweede authenticatiefactor nodig.

Android toont waar een onbekend telefoontje vandaan komt

De derde wijziging geldt uitsluitend voor Android. Wanneer een nummer belt dat niet in uw contacten staat, voegt WhatsApp nu context toe: het land waartoe het nummer behoort, en of u beiden deel uitmaakt van gemeenschappelijke groepen. De afbeelding in de aankondiging toont een Duits mobiel nummer met de vermelding „niet in uw contacten“ en „u zit beiden in 2 groepen“.

Dit is bedoeld om oplichtingsgesprekken tegen te gaan die werken door tijdsdruk uit te oefenen. WhatsApp zegt het duidelijk: "Oplichters spelen in op urgentie, dus neem even de tijd om deze extra informatie te bekijken voordat u opneemt." Dit is context, geen detectie. Controleren wat er daadwerkelijk in een bericht staat, is een afzonderlijke controle, en die richt zich eveneens alleen op onbekenden.

Wat kunt u hiermee doen?

De drie functies worden niet allemaal tegelijk geïntroduceerd. WhatsApp beschrijft ze in zijn eigen bericht als zaken waar het „aan werkt“. Mocht de wachtwoordoptie vandaag nog ontbreken in uw app, dan is er niets aan de hand.

Zodra deze optie beschikbaar is, is de volgende volgorde aan te raden: stel eerst de passkey in en schakel vervolgens de tweestapsverificatie over naar een wachtwoord. En kies er een die u ook daadwerkelijk weer kunt terugvinden. WhatsApp vraagt er zelden om, meestal wanneer u zich aanmeldt op een nieuw apparaat, en dat is precies het moment waarop het oude apparaat mogelijk buiten bereik is. Wat er nog meer helpt wanneer u de toegang kwijtraakt, wordt apart beschreven.