🛡️ Executive Summary
- Più di un miliardo di persone ha configurato una passkey su WhatsApp e ora è possibile associarne più di una allo stesso account tra Android e iOS.
- La verifica in due passaggi passa dal PIN numerico a una password completa, più lunga e compatibile con lettere, numeri e caratteri speciali.
- Su Android le chiamate provenienti da sconosciuti mostrano più contesto, compreso il Paese del numero e gli eventuali gruppi condivisi.
WhatsApp ha superato il miliardo di utenti protetti attraverso passkey e utilizza il traguardo per rafforzare ulteriormente la sicurezza degli account contro furti di identità, phishing e social engineering. La piattaforma introduce la possibilità di associare più passkey allo stesso account, sostituisce il vecchio PIN a sei cifre della verifica in due passaggi con una password completa e aggiunge, almeno su Android, maggiori informazioni prima di rispondere alle chiamate provenienti da numeri sconosciuti. La strategia è chiara: ridurre progressivamente la dipendenza da codici temporanei e informazioni facili da sottrarre, spostando l’autenticazione verso credenziali crittografiche e segnali contestuali più difficili da manipolare.
Cosa leggere
Più di un miliardo di persone usa ormai una passkey su WhatsApp
Nel nuovo aggiornamento ufficiale sulla sicurezza degli account WhatsApp annuncia che oltre un miliardo di persone ha già configurato una passkey. Il sistema consente di effettuare nuovamente l’accesso utilizzando impronta digitale, riconoscimento del volto oppure il codice di sblocco dello smartphone, evitando di dipendere esclusivamente da OTP e PIN. La passkey utilizza il modello crittografico WebAuthn: il servizio conserva la chiave pubblica, mentre l’autenticatore dell’utente mantiene quella privata e firma la richiesta di accesso. Rispetto alle password tradizionali, questo elimina il problema del riutilizzo delle credenziali e rende molto più difficile il phishing classico, perché non esiste una password da inserire dentro una pagina Web fasulla. Il tema resta comunque più articolato: Pass-ta-key ha mostrato come un endpoint già compromesso possa abusare delle passkey sincronizzate senza dover violare la crittografia sottostante.
Ora lo stesso account può avere più passkey tra Android e iPhone
La novità funzionale più rilevante è la possibilità di aggiungere più di una passkey allo stesso account WhatsApp. La funzione è pensata soprattutto per chi utilizza dispositivi appartenenti a ecosistemi diversi, per esempio Android e iOS, e non vuole dipendere da una singola credenziale sincronizzata. Fino a oggi la gestione delle passkey tendeva a legarsi maggiormente all’autenticatore disponibile sul dispositivo principale; supportarne più di una riduce il rischio che un cambio di piattaforma o un problema di sincronizzazione complichino il recupero dell’account. La configurazione passa da Impostazioni > Account > Passkey, mantenendo la procedura integrata nell’applicazione. È un passaggio importante anche sotto il profilo dell’adozione: superare il miliardo di configurazioni significa che l’autenticazione passwordless non è più una funzione destinata soltanto agli utenti tecnicamente più esperti.
La verifica in due passaggi abbandona il PIN da sei cifre
WhatsApp interviene anche sulla two-step verification, utilizzata come secondo livello di protezione quando qualcuno riesce a ottenere il codice di registrazione dell’account. Il vecchio modello prevedeva un PIN numerico di sei cifre; il nuovo sistema permette invece di utilizzare una password completa, più lunga, alfanumerica e compatibile con caratteri speciali. La modifica risolve una debolezza evidente: sei cifre forniscono uno spazio di combinazioni relativamente limitato e molti utenti scelgono sequenze facilmente intuibili come date, numeri ripetuti o combinazioni banali. WhatsApp ironizza direttamente sull’utilizzo di “123456”, ma il problema è tutt’altro che teorico. Le campagne di account takeover sfruttano spesso una combinazione di OTP sottratto attraverso social engineering e secondo fattore debole. Una password realmente complessa aumenta quindi il costo dell’attacco anche quando il primo livello è già stato compromesso.
Le passkey non eliminano il social engineering contro WhatsApp
Il miglioramento dell’autenticazione non rende però inutile il resto delle difese. Le campagne più efficaci contro WhatsApp non cercano necessariamente di rubare una password: possono convincere la vittima a condividere un codice di registrazione, scansionare un QR code o autorizzare un dispositivo collegato. È esattamente il problema che la piattaforma sta cercando di affrontare attraverso nuove protezioni comportamentali. WhatsApp sta sperimentando Scam Alert per analizzare localmente i messaggi sospetti provenienti da sconosciuti, inserendo quindi un controllo prima ancora che l’utente arrivi alla fase di autenticazione. La crittografia end-to-end può proteggere il contenuto durante il trasporto, ma non può impedire a una persona di consegnare volontariamente una credenziale a un criminale che si presenta come banca, collega o tecnico dell’assistenza.
Android mostra più informazioni prima di rispondere a uno sconosciuto
La terza novità interviene proprio sul social engineering attraverso le chiamate. Quando un numero non presente nella rubrica telefona a un utente Android, WhatsApp mostra ora maggiori informazioni prima che venga accettata la comunicazione. Tra queste compaiono il Paese associato al numero e gli eventuali gruppi condivisi con il chiamante. Non è un sistema di reputazione automatico e non determina se il numero sia legittimo o malevolo, ma aggiunge contesto in una fase nella quale i criminali fanno spesso leva sull’urgenza. Una chiamata proveniente improvvisamente da un altro Paese oppure priva di qualsiasi relazione con gruppi conosciuti può spingere l’utente a valutare con maggiore attenzione la richiesta prima di rispondere.
Il contesto diventa una difesa contro l’urgenza artificiale
WhatsApp individua proprio nell’urgenza uno degli strumenti principali utilizzati dagli scammer. Truffe bancarie, falsi familiari, falsi recruiter e assistenza tecnica simulata funzionano perché cercano di ridurre il tempo disponibile per verificare l’identità dell’interlocutore. Mostrare alcuni dati prima della risposta non blocca tecnicamente il criminale, ma introduce una frizione utile. È la stessa logica alla base delle funzioni che avvisano quando un interlocutore sconosciuto aggiunge l’utente a una conversazione o prova a indurlo a cambiare dispositivo. La piattaforma sta quindi costruendo la sicurezza su più livelli: autenticazione crittografica per il login, credenziale più robusta come secondo fattore e contesto aggiuntivo contro il social engineering.
Un account sicuro resta diverso da un dispositivo sicuro
Il miliardo di passkey non deve però essere interpretato come soluzione definitiva alla compromissione degli account. Una passkey protegge molto bene contro phishing e furto diretto della password, ma non può risolvere automaticamente un dispositivo già infetto, una sessione autorizzata fraudolentemente o uno spyware capace di leggere ciò che avviene sull’endpoint. Le campagne che WhatsApp ha attribuito a spyware commerciali e phishing mirato mostrano quanto la sicurezza della messaggistica debba ormai essere separata in almeno tre livelli: account, dispositivo e conversazione. Proteggere il primo non rende automaticamente affidabili gli altri due. Il risultato raggiunto da WhatsApp resta comunque significativo. Un miliardo di utenti che utilizza passkey significa portare un modello di autenticazione resistente al phishing dentro una delle piattaforme di comunicazione più diffuse al mondo, trasformando una tecnologia ancora percepita come specialistica in una funzione quotidiana. Il passo successivo è altrettanto importante: fare in modo che la protezione dell’identità non termini nel momento in cui l’accesso riesce. Con password più robuste, più contesto sulle chiamate e filtri contro le truffe, WhatsApp sta cercando di spostare la sicurezza dall’autenticazione iniziale all’intero ciclo di vita dell’account.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
