WhatsApp: krypteringen skyddar även en främlings enhet

Öppna WhatsApp-inställningarna på din telefon och tryck på ”Anslutna enheter”. Längst ner, direkt under listan, finns en rad med ett litet hänglås framför. ”Dina personliga meddelanden är end-to-end-krypterade på alla dina enheter.” Raden är korrekt. Den är bara placerad på ett olyckligt ställe, eftersom den bekräftar exakt var ett problem skulle uppstå.

Anslutna enheter bryter inte krypteringen, utan deltar fullt ut i den. Hjälpcentret uttrycker det tydligt: ”Dina personliga meddelanden, mediefiler och samtal är krypterade från ände till ände. Varje ansluten enhet ansluter till WhatsApp självständigt och upprätthåller samma förväntade nivå av integritet och säkerhet genom end-to-end-kryptering.” Den som ansluter en enhet till ditt konto står inte utanför och lyssnar. Hen står på insidan.

Fyra enheter, en engångskod, fjorton dagar

Upp till fyra enheter kan vara anslutna till ditt konto samtidigt. Antingen fungerar en QR-kod eller, sedan en tid tillbaka, enbart ditt telefonnummer. WhatsApp skriver: ”Du kan koppla en enhet med hjälp av ditt primära kontonummer och en engångskod.” Din primära telefon behöver inte vara uppkopplad efteråt.

En tidsgräns kvarstår, och den finns också i hjälpcentret. ”Du måste logga in på WhatsApp på din primära telefon var 14:e dag för att hålla de kopplade enheterna anslutna till ditt WhatsApp-konto.” Den regeln låter som ett skydd. Den fungerar bara mot enheter som ingen använder längre. Den som öppnar WhatsApp dagligen – och det gör de flesta – håller på så sätt alla kopplade enheter aktiva, inklusive en främlings enhet.

Metoden kallas ”ghost pairing”

I januari 2026 varnade BSI för en phishing-metod som utnyttjar just denna funktion. Förfarandet är alldagligt och just därför effektivt. Meddelandet anländer, ofta från ett redan kapat konto tillhörande en bekant eller i en social plattforms namn, och leder till en falsk sida. Där ombeds du att bekräfta din identitet eller ditt telefonnummer.

Vad som händer därefter beskrivs av BSI på följande sätt: angriparna vidarebefordrar numret till WhatsApp och använder det för att starta funktionen ”Koppla en enhet med telefonnummer”. WhatsApp skapar en åttasiffrig kopplingskod, som brottslingarna sedan ber om. I appen visas då en kopplingsförfrågan, och offren förväntas bekräfta den själva.

Här ligger skillnaden jämfört med allt användarna har lärt sig om kontoövertaganden. Om någon omregistrerar ditt nummer blir du utloggad och märker det omedelbart. Att koppla en enhet är inte en registrering, vilket är anledningen till att inget av detta händer. Du förblir inloggad, dina chattar fortsätter och din telefon fungerar som vanligt. BSI beskriver konsekvensen nyktert och skriver att attacken ofta förblir oupptäckt under lång tid, eftersom en legitim funktion i appen missbrukas och WhatsApp fortsätter att fungera som vanligt.

WhatsApp har varnat sedan mars, men inte alltid

Meta har sedan dess lagt till något och den 11 mars 2026 meddelade man en varning för koppling av enheter. Enligt WhatsApps egna ord kommer appen nu att varna användare ”när beteendesignaler tyder på att en kopplingsförfrågan kan vara misstänkt” och visa varifrån förfrågan kommer.

Denna enda mening innehåller två begränsningar. Varningen bygger på beteendesignaler och klassificerar en begäran som eventuellt misstänkt. Det handlar uttryckligen inte om ett meddelande vid varje koppling, utan om en riskdetektering som kan vara felaktig. Meta ger inga detaljer om regioner, plattformar eller tidsplan i tillkännagivandet, och inlägget publicerades i den indiska nyhetsredaktionen med siffror från Indien. Om varningen visas på ett europeiskt konto går inte att avgöra utifrån.

Självkontrollen som alltid fungerar

Oavsett allt detta finns det en metod som fungerar när som helst och tar två minuter. I WhatsApp-inställningarna, under ”Anslutna enheter”, hittar du avsnittet ”Enhetsstatus” och där alla enheter som för närvarande är kopplade till ditt konto. Ett tryck öppnar detaljvyn med enhetens namn, plattformen och anteckningen ”Synkronisering slutförd” för chathistoriken. Längst ner finns en röd ”Logga ut”-knapp, och under den en rad som visar att WhatsApp tar hänsyn till fallet: ”Om du inte känner igen den här enheten eller inte längre har åtkomst till den bör du logga ut från den.”

En detalj saknas, och det är den viktigaste. WhatsApp visar bara om en enhet är aktiv just nu eller när den senast användes. När den kopplades in framgår inte någonstans. En post som du inte kan datera kan inte heller dateras, och du får aldrig veta hur länge någon har läst med. Vid tveksamhet, logga ut den och kontrollera sedan din tvåstegsverifiering.

Den blev säkrare den 25 augusti 2026. Den sexsiffriga PIN-koden blev ett fullständigt lösenord, längre, alfanumeriskt och med tillåtna specialtecken. Utöver det kan du ställa in en passnyckel, och sedan uppdateringen till och med flera stycken. Inget av detta förhindrar spökkoppling, eftersom du där bekräftar det själv. Båda gör det betydligt svårare för angripare att förvandla en kapad åtkomst till något bestående.

Vad du bör ta med dig

En parningskod är som en nyckel som du kastar ut genom fönstret. Ingen annan än du behöver den, och ingen seriös webbplats ber om den. Den som försöker få dig att använda en QR-kod eller ange åtta siffror är ute efter ditt konto. Resten är rutin, så öppna enhetslistan då och då, logga ut enheter du inte känner igen och läs den lugnande raden nedanför för vad den är – ett uttalande om kryptering och inte om vem som läser med.