WhatsApp convierte el PIN de seis dígitos de la cuenta en una contraseña

WhatsApp anunció tres cambios en la seguridad de las cuentas el 25 de agosto. El que la mayoría de las personas notará se encuentra en un menú que rellenaron una vez y al que nunca volvieron a acceder: el PIN de seis dígitos que forma parte de la verificación en dos pasos. Se está convirtiendo en una contraseña.

Seis dígitos son fáciles de adivinar; ocho caracteres, no tanto

La verificación en dos pasos es la capa de seguridad que se activa cuando otra persona se hace con su código SMS de un solo uso. Hasta ahora era un PIN de seis dígitos. El propio blog de WhatsApp es inusualmente directo sobre cómo funcionaba esto en la práctica: «Si utilizaba 123456, ahora es un buen momento para cambiarlo».

El sustituto es una contraseña. La captura de pantalla del anuncio de WhatsApp detalla las reglas: al menos ocho caracteres, al menos una letra, al menos un número. Se permiten los caracteres especiales, pero no son obligatorios. No es un listón muy alto. En comparación con los seis dígitos, sigue siendo un orden de magnitud diferente.

La protección se centra en un tipo específico de ataque. Cualquier persona que se haga con su número de teléfono, ya sea mediante el intercambio de tarjetas SIM o a través de un número antiguo que se haya cedido a otra persona, también recibirá el código de un solo uso. Sin este segundo obstáculo, la cuenta se pierde en ese mismo instante.

Más de una clave de acceso, tanto para usuarios de Android como de iPhone

WhatsApp afirma que más de mil millones de personas han configurado una clave de acceso. Una clave de acceso sustituye a los códigos y PIN por una huella dactilar, Face ID o el bloqueo de pantalla. La novedad es que una cuenta puede tener más de una. Cualquier persona que utilice un teléfono Android junto con un iPhone tenía que elegir anteriormente uno de los dos. La opción se encuentra en Ajustes, Cuenta, Claves de acceso.

Las claves de acceso son el elemento que más cambia. Una contraseña puede ser objeto de phishing, al igual que un código SMS. La parte privada de una clave de acceso nunca sale del dispositivo, por lo que el phishing convencional no tiene ningún efecto sobre ella. Sin embargo, esto no elimina todas las vulnerabilidades: cualquiera que se apropie de una sesión en la que usted ya haya iniciado sesión no necesitará ni una contraseña ni un segundo factor de autenticación.

Android muestra de dónde procede una llamada desconocida

El tercer cambio es exclusivo de Android. Cuando suena un número que no figura en sus contactos, WhatsApp ahora añade contexto: el país al que pertenece el número y si ambos comparten algún grupo. La imagen de ejemplo del anuncio muestra un número de móvil alemán etiquetado como «no figura en sus contactos» y «ambos están en 2 grupos».

Esta medida está dirigida a las llamadas fraudulentas que se aprovechan de la presión del tiempo. WhatsApp lo explica con claridad: «Los estafadores se basan en la urgencia, así que tómese un momento para consultar esta información adicional antes de contestar». Se trata de contexto, no de detección. Comprobar lo que dice realmente un mensaje es una prueba independiente, y esa solo tiene en cuenta a los desconocidos.

Qué hacer al respecto

Las tres funciones no se implementarán todas a la vez. WhatsApp las describe en su propia publicación como aspectos en los que está «trabajando». Si hoy no aparece la opción de la contraseña en su aplicación, no hay ningún problema.

Una vez que esté disponible, este orden tiene sentido: configure primero la clave de acceso y, a continuación, cambie la verificación en dos pasos a una contraseña. Y elija una que realmente pueda recordar. WhatsApp se la solicita en contadas ocasiones, normalmente al iniciar sesión en un nuevo dispositivo, que es precisamente el momento en el que el antiguo puede estar fuera de su alcance. Lo que más le puede ayudar si pierde el acceso se explica por separado.