Sześciocyfrowy PIN był dodatkowym zabezpieczeniem konta WhatsApp. Jego zadaniem było utrudnienie przejęcia profilu nawet wtedy, gdy przestępca zdobył jednorazowy kod służący do rejestracji numeru telefonu. Problem polega na tym, że sześć cyfr daje ograniczoną liczbę możliwych kombinacji, a użytkownicy często dodatkowo wybierają bardzo proste ciągi, takie jak 123456, powtórzenia jednej cyfry albo daty łatwe do powiązania z właścicielem konta. WhatsApp zdecydował więc, że taki model powinien zostać zastąpiony znacznie silniejszym rozwiązaniem. Nowa weryfikacja dwuetapowa pozwala stosować pełne hasło, które może być dłuższe i zawierać jednocześnie litery, cyfry oraz znaki specjalne. Dzięki temu możliwość stworzenia trudnego do odgadnięcia zabezpieczenia znacząco rośnie.
Zmiana jest odpowiedzią na sposób, w jaki współcześnie przejmowane są konta komunikatorów. Przestępca nie zawsze próbuje technicznie złamać zabezpieczenie. Często wykorzystuje socjotechnikę i przekonuje użytkownika, aby sam podał kod otrzymany SMS-em albo kliknął spreparowany link. Weryfikacja dwuetapowa tworzy dodatkową przeszkodę, ponieważ zdobycie jednorazowego kodu nie musi już wystarczyć do przejęcia konta. Im trudniejsze jest dodatkowe hasło, tym większą ochronę zapewnia. WhatsApp podkreśla, że właśnie temu służy nowa wersja zabezpieczenia. Aktualizacja jest stopniowo udostępniana użytkownikom Androida i iOS, dlatego nie każdy musi zobaczyć możliwość ustawienia nowego hasła dokładnie tego samego dnia.
To jedno z najważniejszych rozróżnień, ponieważ w WhatsApp funkcjonowały różne kody, które łatwo ze sobą pomylić. Zmiana ogłoszona w sierpniu 2026 roku dotyczy sześciocyfrowego PIN-u ustawianego przez użytkownika w ramach weryfikacji dwuetapowej. Nie należy utożsamiać go z jednorazowym kodem wykorzystywanym do potwierdzania numeru telefonu podczas rejestracji lub ponownego logowania. WhatsApp wzmacnia dodatkową warstwę ochronną, zastępując prosty PIN pełnym hasłem. Dzięki temu nawet zdobycie jednorazowego kodu przez osobę trzecią nie musi oznaczać możliwości natychmiastowego przejęcia profilu. Sama idea zabezpieczenia pozostaje więc podobna, ale drugi etap staje się znacznie trudniejszy do odgadnięcia.
Użytkownicy powinni również pamiętać, że WhatsApp nigdy nie powinien wymagać przekazywania jednorazowych kodów innym osobom przez wiadomość, telefon czy komunikator. Popularny scenariusz oszustwa polega na tym, że przestępca podszywa się pod znajomego lub pracownika firmy i twierdzi, że kod został przypadkowo wysłany na niewłaściwy numer. Jeżeli właściciel konta go przekaże, napastnik może próbować zarejestrować jego numer na innym urządzeniu. Mocniejsza weryfikacja dwuetapowa zwiększa bezpieczeństwo w takiej sytuacji, ale nie zwalnia z ostrożności. Najlepszą ochronę zapewnia połączenie silnego hasła, kontroli własnego telefonu, zabezpieczenia adresu e-mail i nieudostępniania kodów otrzymywanych w wiadomościach SMS.
WhatsApp udostępnia ustawienia zabezpieczeń w sekcji dotyczącej konta. Użytkownik może wejść do ustawień aplikacji, następnie wybrać "Konto" i przejść do opcji weryfikacji dwuetapowej. Jeśli nowe rozwiązanie jest już dostępne dla konkretnego konta, można zmienić dotychczasowy PIN na hasło. Centrum pomocy WhatsApp potwierdza, że firma przechodzi właśnie z sześciocyfrowego PIN-u na hasło i pozwala użytkownikom z istniejącym zabezpieczeniem dokonać zmiany. W tej samej części ustawień można zarządzać między innymi metodą odzyskiwania dostępu oraz powiązanym adresem e-mail. Ponieważ aktualizacja jest wdrażana etapami, wygląd opcji może się chwilowo różnić pomiędzy urządzeniami i wersjami aplikacji.
Nowe hasło warto potraktować jak zabezpieczenie ważnego konta, a nie kolejny prosty kod do zapamiętania. Nie powinno być identyczne z hasłem używanym do poczty, Facebooka, bankowości czy innych usług. Dobrym rozwiązaniem jest dłuższa kombinacja znaków, której nie można łatwo powiązać z imieniem, datą urodzenia, numerem telefonu czy nazwą firmy. Pomocny może być menedżer haseł, szczególnie jeśli użytkownik posiada wiele różnych kont. Ważne jest również dodanie aktualnego adresu e-mail do odzyskiwania dostępu, jeśli WhatsApp oferuje taką opcję na koncie. Dzięki temu utrata hasła nie musi oznaczać długotrwałych problemów z odzyskaniem profilu. Samo przejście z sześciu cyfr na pełne hasło zwiększa poziom ochrony tylko wtedy, gdy użytkownik rzeczywiście wybierze odpowiednio silną kombinację.
Passkey, czyli klucz dostępu, pozwala potwierdzić tożsamość bez wpisywania tradycyjnego hasła czy kodu. WhatsApp może wykorzystać zabezpieczenie dostępne już w telefonie, takie jak odcisk palca, Face ID, rozpoznawanie twarzy albo kod blokady urządzenia. Klucz dostępu jest powiązany z mechanizmem kryptograficznym i w praktyce znacznie utrudnia klasyczne ataki phishingowe. Użytkownik nie posiada ciągu znaków, który może przypadkowo wpisać na fałszywej stronie i przekazać oszustowi. WhatsApp poinformował 25 sierpnia 2026 roku, że ponad miliard użytkowników skonfigurował już passkey. Skala wykorzystania tego mechanizmu pokazuje, że technologia przestaje być eksperymentalnym dodatkiem i staje się jednym z głównych sposobów zabezpieczania kont.
Klucze dostępu nie oznaczają jednak, że wszystkie pozostałe zabezpieczenia można zignorować. Bezpieczeństwo konta zależy również od zabezpieczenia samego telefonu oraz konta Apple lub Google, z którym mogą być powiązane dane uwierzytelniające. Jeśli ktoś zna kod blokady urządzenia i ma fizyczny dostęp do telefonu, sytuacja wygląda inaczej niż w przypadku zdalnego oszusta próbującego wyłudzić hasło. Dlatego warto stosować mocny kod blokady, biometrię i aktualne oprogramowanie urządzenia. W WhatsApp konfiguracja klucza dostępu dostępna jest w ustawieniach konta, w sekcji "Passkeys" lub "Klucze dostępu". Po jej uruchomieniu aplikacja może wykorzystać zabezpieczenia systemowe telefonu podczas ponownego logowania.
Dotychczas użytkownik korzystający z passkey miał bardziej ograniczone możliwości, szczególnie jeśli równolegle używał urządzeń należących do różnych ekosystemów. Nowa aktualizacja pozwala przypisać więcej niż jeden klucz dostępu do tego samego konta WhatsApp. Firma wskazuje jako przykład osobę korzystającą zarówno z Androida, jak i iOS. Może ona skonfigurować osobne klucze dostępu i korzystać z wygodnego uwierzytelniania na obu platformach. To ważna zmiana, ponieważ użytkownicy coraz częściej posiadają kilka urządzeń albo przechodzą pomiędzy różnymi systemami operacyjnymi. Wcześniejsze ograniczenie mogło powodować, że część osób rezygnowała z passkeys i wracała do tradycyjnych metod logowania.
Możliwość korzystania z kilku kluczy dostępu ma także znaczenie podczas wymiany telefonu. Zmiana urządzenia nie powinna zmuszać użytkownika do rezygnacji z wygodniejszej i bardziej odpornej na phishing metody uwierzytelniania. Passkeys są częścią szerszego trendu technologicznego polegającego na stopniowym ograniczaniu znaczenia klasycznych haseł. Z perspektywy użytkownika największą zaletą jest prostota - zamiast pamiętać kolejny ciąg znaków można potwierdzić swoją tożsamość mechanizmem wykorzystywanym codziennie do odblokowania telefonu. Jednocześnie warto regularnie sprawdzać, jakie urządzenia i klucze są powiązane z kontem. Jeśli stare urządzenie zostało sprzedane lub nie jest już używane, jego dostęp powinien zostać odpowiednio usunięty.
Trzecia duża zmiana dotyczy połączeń przychodzących od osób, których użytkownik nie posiada w kontaktach. Na Androidzie WhatsApp zaczyna wyświetlać więcej kontekstu dotyczącego nieznanego rozmówcy. Użytkownik może zobaczyć między innymi informację o kraju, z którego pochodzi numer, oraz o tym, czy rozmówca należy do tych samych grup WhatsApp. Takie dane nie przesądzają oczywiście, że telefon jest bezpieczny lub niebezpieczny. Mają jednak pozwolić szybciej zauważyć sytuację nietypową, na przykład połączenie z zagranicznego numeru od osoby, z którą użytkownik nie ma żadnych wspólnych kontaktów grupowych. Funkcja została na razie zapowiedziana dla Androida.
Zmiana jest bezpośrednio związana ze sposobem działania oszustów. Ataki socjotechniczne bardzo często wykorzystują presję czasu. Rozmówca przekonuje, że trzeba natychmiast przelać pieniądze, potwierdzić kod, zalogować się na wskazanej stronie albo przekazać dane. Dodatkowe informacje wyświetlane jeszcze przed odebraniem połączenia mogą dać użytkownikowi kilka sekund na ocenę sytuacji. WhatsApp podkreśla, że przestępcy wykorzystują właśnie poczucie pilności i dlatego kontekst dotyczący dzwoniącego może ograniczać skuteczność części ataków. Nadal najważniejsza pozostaje jednak ostrożność. Numer telefonu można podszyć lub wykorzystać w oszustwie, dlatego żadna informacja wyświetlana przez aplikację nie powinna zastępować zdrowego rozsądku i niezależnego potwierdzania tożsamości rozmówcy.
Weryfikacja dwuetapowa jest dodatkowym mechanizmem bezpieczeństwa konta i użytkownicy powinni ją włączyć, jeśli jeszcze z niej nie korzystają. WhatsApp stopniowo aktualizuje dotychczasowy model oparty na sześciocyfrowym PIN-ie do pełnego hasła. Passkey pozostaje natomiast metodą, którą użytkownik może skonfigurować w ustawieniach. Nie oznacza to więc, że po zainstalowaniu aktualizacji każdy zostanie nagle zmuszony do używania odcisku palca albo Face ID przy każdym otwarciu komunikatora. Klucz dostępu służy przede wszystkim do bezpiecznego potwierdzania tożsamości podczas procesu logowania lub ponownej rejestracji i jest powiązany z systemem zabezpieczeń urządzenia.
Wprowadzanie nowych funkcji odbywa się stopniowo. Dwie osoby posiadające tę samą aplikację mogą więc przez pewien czas widzieć różne dostępne opcje. Znaczenie ma system operacyjny, wersja WhatsApp oraz etap wdrażania funkcji dla konkretnego konta. Szczególnie nowy ekran z dodatkowymi informacjami o nieznanych rozmówcach początkowo dotyczy Androida. Jeśli użytkownik nadal widzi wyłącznie możliwość stosowania sześciocyfrowego PIN-u, nie oznacza to, że jego aplikacja jest uszkodzona. Warto przede wszystkim zadbać o aktualną wersję WhatsApp pobraną z oficjalnego sklepu i poczekać na udostępnienie funkcji. Nie należy instalować aplikacji z linków wysyłanych w wiadomościach tylko dlatego, że ktoś obiecuje "wcześniejszy dostęp" do nowych zabezpieczeń.
WhatsApp stosuje domyślne szyfrowanie end-to-end rozmów, dzięki któremu treść wiadomości jest chroniona podczas przesyłania pomiędzy uczestnikami komunikacji. Nie rozwiązuje to jednak każdego problemu z bezpieczeństwem konta. Jeśli przestępca przekona właściciela numeru do przekazania kodu logowania i skutecznie przejmie konto, szyfrowanie transmisji nie zastąpi mechanizmów uwierzytelniania. Właśnie dlatego WhatsApp rozwija równolegle kilka warstw ochrony. Szyfrowanie zabezpiecza treść komunikacji, weryfikacja dwuetapowa utrudnia przejęcie konta, a passkeys pozwalają ograniczyć ryzyko związane z kodami i klasycznymi hasłami.
Bezpieczeństwo należy więc traktować jako cały system, a nie pojedynczy przełącznik w ustawieniach. Użytkownik może mieć zaszyfrowane rozmowy, a mimo to paść ofiarą oszustwa, jeśli sam przekaże kod dostępu albo pozwoli obcej osobie przejąć kontrolę nad swoim telefonem. Podobnie silne hasło do weryfikacji dwuetapowej nie pomoże, jeśli używane jest identycznie w wielu usługach i wycieknie z innego serwisu. Najlepszym rozwiązaniem jest połączenie kilku zabezpieczeń: aktualnego WhatsApp, blokady telefonu, passkey, mocnej weryfikacji dwuetapowej oraz zabezpieczonego adresu e-mail. Dzięki temu przejęcie konta wymaga pokonania kilku niezależnych barier.
Pierwszym krokiem powinno być sprawdzenie ustawień konta i weryfikacji dwuetapowej. Jeśli aplikacja pozwala już zamienić sześciocyfrowy PIN na pełne hasło, warto to zrobić i wybrać unikalne zabezpieczenie, którego nie używamy w innych serwisach. Drugim krokiem jest konfiguracja passkey w sekcji Ustawienia - Konto - Klucze dostępu. Osoby korzystające zarówno z Androida, jak i iPhone'a mogą teraz dodać więcej niż jeden klucz do tego samego konta. Warto także upewnić się, że adres e-mail służący do odzyskiwania dostępu jest aktualny i sam posiada mocne zabezpieczenia.
Równie ważna jest kontrola codziennych zachowań. Kodów przesyłanych przez WhatsApp lub SMS nie należy przekazywać innym osobom, nawet jeśli wiadomość wygląda na wysłaną przez znajomego. W przypadku nietypowej prośby o pieniądze najlepiej skontaktować się z daną osobą innym kanałem. Nie należy również instalować nieoficjalnych wersji WhatsApp ani aplikacji z przypadkowych linków. Warto regularnie aktualizować system telefonu i sprawdzać urządzenia powiązane z kontem. Nowa aktualizacja WhatsApp znacząco zwiększa możliwości zabezpieczenia profilu, ale nie zmienia podstawowej zasady cyberbezpieczeństwa - technologia może utrudnić oszustwo, jednak nadal największą przewagę przestępcy uzyskują wtedy, gdy uda im się przekonać użytkownika do samodzielnego przekazania dostępu.
