WhatsApp omvandlar sin sexsiffriga kontokod till ett lösenord

WhatsApp meddelade tre ändringar av kontosäkerheten den 25 augusti. Den som de flesta kommer att lägga märke till finns i en meny som de fyllde i en gång och sedan aldrig rörde igen: den sexsiffriga PIN-koden bakom tvåstegsverifieringen. Den håller på att förvandlas till ett lösenord.

Sex siffror är lätta att gissa, åtta tecken är svårare

Tvåstegsverifieringen är det skydd som håller när någon annan får tag på din engångskod via SMS. Hittills har det varit en sexsiffrig PIN-kod. WhatsApps egen blogg är ovanligt rakt på sak om hur det fungerade i praktiken: ”Om du använde 123456 är det dags att uppgradera nu.”

Ersättningen är ett lösenord. Skärmdumpen i WhatsApps meddelande anger reglerna: minst åtta tecken, minst en bokstav, minst en siffra. Specialtecken är tillåtna men inte obligatoriska. Det är ingen hög tröskel. Jämfört med sex siffror är det ändå en helt annan storleksordning.

Skyddet riktar sig mot en specifik attack. Den som tar över ditt telefonnummer, genom SIM-byte eller genom ett gammalt nummer som har överlåtits till någon annan, får också engångskoden. Utan det andra hindret är kontot borta i samma ögonblick.

Fler än en passnyckel, för alla som använder både Android och iPhone

WhatsApp uppger att mer än en miljard människor har ställt in en passnyckel. En passnyckel ersätter koder och PIN-koder med ett fingeravtryck, Face ID eller skärmlåset. Det nya är att ett konto kan ha mer än en. Den som använder både en Android-telefon och en iPhone har tidigare varit tvungen att välja sida. Inställningen finns under Inställningar, Konto, Passnycklar.

Passnycklarna är den del som förändras mest. Ett lösenord kan bli utsatt för nätfiske, liksom en SMS-kod. Den privata delen av en passnyckel lämnar aldrig enheten, vilket är anledningen till att vanligt nätfiske inte fungerar med den. Det täpper dock inte till alla luckor: den som kapar en session där du redan är inloggad behöver varken ett lösenord eller en andra faktor.

Android visar varifrån ett okänt samtal kommer

Den tredje förändringen gäller endast Android. När ett nummer som inte finns i dina kontakter ringer lägger WhatsApp nu till sammanhang: vilket land numret tillhör och om ni båda ingår i några gemensamma grupper. Exempelbilden i tillkännagivandet visar ett tyskt mobilnummer med texten ”finns inte i dina kontakter” och ”ni ingår båda i 2 grupper”.

Syftet är att motverka bedrägerisamtal som utnyttjar tidspress. WhatsApp uttrycker det tydligt: ”Bedragare utnyttjar brådska, så ta en stund att titta på den här extra informationen innan du svarar.” Det här är sammanhang, inte upptäckt. Att kontrollera vad ett meddelande faktiskt säger är en separat kontroll, och den gäller endast främlingar.

Vad ska man göra med det

De tre funktionerna lanseras inte samtidigt. WhatsApp beskriver dem i sitt eget inlägg som saker man ”arbetar med”. Om lösenordsalternativet saknas i din app idag är inget fel.

När det väl dyker upp är den här ordningen logisk: ställ in passnyckeln först, och byt sedan tvåstegsverifieringen till ett lösenord. Och välj ett lösenord som du faktiskt kommer att hitta igen. WhatsApp ber sällan om det, vanligtvis när du loggar in på en ny enhet, vilket är precis det ögonblick då den gamla enheten kanske är utom räckhåll. Vad mer som hjälper när du tappar åtkomsten beskrivs separat.