WhatsApp vervangt de pincode voor verificatie in twee stappen door een wachtwoord

WhatsApp vervangt de zescijferige pincode van zijn verificatie in twee stappen door een volledig wachtwoord en staat vanaf nu meerdere passkeys per account toe, meldt het bedrijf.

Die pincode is de laatste horde tussen een aanvaller en jouw zakelijke nummer. Wie de eenmalige sms-code onderschept, komt er alleen nog langs als hij ook de tweede code raadt, en zes cijfers die op een geboortejaar of een postcode lijken raad je. Voor een bedrijf dat klantvragen via WhatsApp binnenkrijgt is dat geen beheerderskwestie waar je op wacht. Het is een instelling die je vandaag zelf omzet, op het toestel waar het nummer op staat.

Wat het nieuwe wachtwoord moet halen

Het wachtwoord moet minimaal acht tekens tellen, met ten minste één letter en één cijfer. Speciale tekens zijn toegestaan, hoofdletters ook. Daarmee verdwijnt de vaste zescijferige vorm die WhatsApp sinds de introductie van verificatie in twee stappen in 2017 gebruikte. WhatsApp zegt er in zijn aankondiging droog bij dat wie "123456" gebruikt, dit als het moment mag zien om te upgraden.

Het Nederlandstalige helpcentrum vermeldt de wijziging inmiddels: wie al een pincode heeft, kan die bijwerken naar een wachtwoord in de instellingen van zijn account. Een aparte startdatum per land noemt WhatsApp niet, dus de upgrade komt mee met de app-updates.

Meer dan één passkey per account

Meer dan een miljard mensen loggen inmiddels met een passkey in op WhatsApp, met een vingerafdruk, gezichtsherkenning of de schermvergrendeling van het toestel. Nieuw is dat één account er meer dan één mag hebben: handig voor wie zowel een Android- als een iOS-toestel gebruikt, via Instellingen, Account, Passkeys.

Voor het zakelijke nummer haalt dat een praktisch bezwaar weg. Wie naast de werktelefoon een reservetoestel of een tablet gebruikt, hoefde tot nu toe te kiezen: één toestel met een passkey, de rest terug naar de code. Die keuze is er niet meer.

De zwakke plek zit náást het wachtwoord

In hetzelfde scherm staan twee dingen die vaker misgaan dan de code zelf. De verificatie in twee stappen bewaart een e-mailadres voor als je het wachtwoord kwijtraakt, en een lijst met vertrouwde apparaten. Allebei beheer je in dezelfde accountinstellingen. Staat daar het privéadres van de medewerker die het toestel bedient, dan loopt de herstelroute van je zakelijke kanaal langs iemands persoonlijke mailbox.

Daarmee verschuift de vraag van de code naar het eigendom. Een telecomaanbieder mag een 06-nummer niet overdragen zonder de uitdrukkelijke toestemming van de abonnee, en wie die abonnee is blijkt uit de factuur en het bankafschrift, niet uit je personeelsdossier. Een sterk wachtwoord op een account dat op de verkeerde naam staat verandert daar niets aan.

Meer context voordat je opneemt

De derde wijziging raakt binnenkomende oproepen. Op Android zie je bij een beller die niet in je contacten staat of het nummer uit een ander land komt en of je groepen gemeen hebt. In het voorbeeldscherm van WhatsApp staat dat als één regel onder het nummer, inclusief de naam van de gedeelde groep.

Die functie werkt voor een bedrijf twee kanten op, want jouw eerste belletje naar een nieuwe klant is precies zo'n oproep van een niet-contact. Dezelfde asymmetrie speelde bij het fraudemodel dat WhatsApp op het toestel zelf berichten van niet-contacten laat beoordelen: de ontvanger ziet het label, de afzender weet niet dat het er staat.

Waar dit heen wijst

De drie stappen wijzen dezelfde kant op. WhatsApp haalt de beveiliging van het account weg bij iets wat je onthoudt, een code van zes cijfers of een sms'je, en legt hem bij iets wat je bezit: een sleutel op je eigen toestel. Eerder dit jaar kwamen daar al strengere accountinstellingen in januari en waarschuwingen bij het koppelen van een nieuw apparaat in maart bij.

Wat zo'n upgrade waard is, hangt af van wat ernaast blijft staan. Dat is dezelfde les die bij zakelijke inlogs geldt: zolang de zwakke terugval naast een passkey blijft staan, verandert er voor een aanvaller vrijwel niets. Bij WhatsApp was die terugval jarenlang een code van zes cijfers. Vanaf nu is het precies zo sterk als je hem zelf maakt.