WhatsApp rafforza gli strumenti destinati a proteggere gli account e annuncia che più di un miliardo di persone ha già configurato una passkey per accedere nuovamente al servizio. La piattaforma introduce inoltre la possibilità di associare più passkey allo stesso account, potenzia la verifica in due passaggi sostituendo il tradizionale PIN numerico con una password più complessa e aggiunge, su Android, maggiori informazioni sulle chiamate provenienti da numeri sconosciuti.
Le novità intervengono su uno dei punti più delicati della sicurezza delle applicazioni di messaggistica: non soltanto la riservatezza delle conversazioni, già tutelate su WhatsApp dalla crittografia end-to-end attiva per impostazione predefinita, ma anche la protezione dell’identità digitale dell’utente e il controllo dell’account.
Le passkey raggiungono oltre un miliardo di utenti
Il dato più rilevante comunicato da WhatsApp riguarda la diffusione delle passkey. Secondo l’azienda, oltre un miliardo di persone ne ha già configurata almeno una.
Una passkey permette di verificare la propria identità utilizzando lo stesso sistema con cui si sblocca il dispositivo: per esempio l’impronta digitale, il riconoscimento del volto oppure il codice di blocco dello schermo. L’obiettivo è ridurre la dipendenza da codici, PIN e credenziali che devono essere ricordati, trascritti o ricevuti attraverso altri canali.
Per l’utente, il cambiamento si traduce in un accesso più immediato. Invece di inserire manualmente un codice, è possibile confermare la propria identità attraverso un meccanismo già integrato nello smartphone. Dal punto di vista della sicurezza, questo approccio riduce anche alcune delle occasioni nelle quali un codice potrebbe essere intercettato, copiato o comunicato involontariamente a un truffatore.
Il superamento della soglia del miliardo indica che le passkey non sono più soltanto una funzione destinata agli utenti più esperti. La loro adozione su una piattaforma di messaggistica utilizzata su scala globale suggerisce che questo sistema di autenticazione sta entrando nelle abitudini quotidiane di una parte significativa del pubblico.
Resta importante distinguere, tuttavia, tra il numero di persone che hanno configurato la funzione e il suo utilizzo effettivo in tutte le situazioni di accesso o recupero dell’account. Il dato diffuso da WhatsApp misura l’attivazione delle passkey, ma non offre ulteriori dettagli sulla frequenza con cui vengono usate né sulla loro distribuzione geografica.
Più passkey per lo stesso account
La novità operativa principale consiste nella possibilità di aggiungere più di una passkey allo stesso account WhatsApp, nel caso in cui vengano utilizzati dispositivi Android e iOS.
Questa estensione risponde a un’esigenza concreta. Una singola persona può utilizzare dispositivi appartenenti a ecosistemi differenti oppure cambiare smartphone nel corso del tempo. Consentire la registrazione di più passkey può rendere più flessibile l’accesso e ridurre la dipendenza da un solo dispositivo.
La gestione di più credenziali, però, richiede anche attenzione. All’aumentare dei dispositivi autorizzati diventa importante che l’utente possa controllare facilmente quali passkey risultino associate all’account e rimuovere quelle collegate a telefoni non più utilizzati, smarriti o ceduti ad altre persone. Il comunicato non approfondisce le modalità di revoca e gestione delle singole passkey, un aspetto che inciderà sulla semplicità e sulla sicurezza dell’esperienza complessiva.
La configurazione può essere avviata direttamente dall’app seguendo il percorso Impostazioni, Account, Passkey.
La verifica in due passaggi passa dal PIN alla password
WhatsApp interviene anche sulla verifica in due passaggi, la funzione che aggiunge una barriera ulteriore contro i tentativi di appropriazione dell’account.
Questo livello di protezione è pensato per impedire a un’altra persona di prendere il controllo del profilo anche quando sia riuscita a ottenere il codice di accesso monouso. Finora la verifica aggiuntiva era basata su un PIN di sei cifre. WhatsApp annuncia di averlo trasformato in una password completa, che può essere più lunga e contenere lettere, numeri e caratteri speciali.
La modifica amplia notevolmente il numero delle combinazioni possibili e rende più difficile indovinare la credenziale attraverso tentativi ripetuti o sfruttando sequenze molto comuni. Un PIN come “123456”, richiamato dalla stessa azienda come esempio da evitare, offre infatti una protezione estremamente limitata.
Il passaggio a una password più robusta introduce però una responsabilità maggiore per l’utente. Una credenziale complessa è più resistente agli attacchi, ma può anche essere dimenticata con maggiore facilità. L’efficacia della funzione dipenderà quindi non soltanto dai requisiti tecnici imposti da WhatsApp, ma anche dalla chiarezza delle procedure di configurazione, aggiornamento e recupero.
Sarà inoltre decisivo evitare che la nuova password venga riutilizzata su altri servizi. Se la stessa credenziale fosse impiegata altrove e finisse coinvolta in una violazione, parte del vantaggio ottenuto attraverso una maggiore complessità verrebbe meno.
Più informazioni prima di rispondere a una chiamata
Un terzo intervento riguarda le chiamate provenienti da persone che non risultano salvate nella rubrica. Su Android, WhatsApp mostrerà più informazioni sui numeri sconosciuti, indicando per esempio se il numero appartiene a un altro Paese e se tra il chiamante e il destinatario esistono gruppi in comune.
Questi elementi non certificano l’identità di chi sta chiamando, ma possono offrire un contesto utile prima di decidere se rispondere. La presenza di gruppi condivisi può aiutare a comprendere come il chiamante abbia trovato il numero; al contrario, una provenienza geografica inattesa può suggerire maggiore prudenza.
La funzione cerca di contrastare soprattutto le tecniche di manipolazione basate sull’urgenza. Molte frodi telefoniche puntano infatti a spingere la persona a reagire immediatamente, senza lasciarle il tempo di verificare l’identità dell’interlocutore o la plausibilità della richiesta.
Mostrare qualche informazione in più prima della risposta introduce una pausa decisionale, ma non elimina il rischio. Un numero dello stesso Paese, la presenza in un gruppo comune o un profilo apparentemente credibile non garantiscono che la chiamata sia legittima. La novità deve quindi essere considerata uno strumento di valutazione, non un sistema automatico di autenticazione del chiamante.
Il comunicato indica espressamente la disponibilità di questa funzione su Android, senza fornire informazioni su un’eventuale introduzione anche su iOS.
Dalla protezione dei messaggi alla difesa dell’identità
Le tre novità mostrano un’evoluzione più ampia nelle priorità di sicurezza delle piattaforme di messaggistica. La crittografia end-to-end protegge il contenuto delle conversazioni durante lo scambio tra mittente e destinatario, ma da sola non può impedire che un account venga sottratto attraverso un codice ottenuto con l’inganno o che una persona risponda a una chiamata fraudolenta.
Per questo la sicurezza si sta spostando verso un modello composto da più livelli: protezione delle comunicazioni, autenticazione dell’utente, difesa dell’account e strumenti capaci di fornire un contesto prima delle interazioni potenzialmente rischiose.
In questa strategia, le passkey semplificano la verifica dell’identità; la nuova password per la verifica in due passaggi aumenta la resistenza ai tentativi di accesso; le informazioni sui chiamanti sconosciuti aiutano invece l’utente a prendere decisioni più consapevoli. Nessuna delle tre misure è sufficiente da sola, ma la loro combinazione può rendere più difficile completare con successo un tentativo di appropriazione dell’account o di frode.
Una spinta all’adozione delle passkey su larga scala
Con oltre un miliardo di configurazioni dichiarate, WhatsApp può contribuire a normalizzare l’uso delle passkey ben oltre il settore della messaggistica. Quando una tecnologia di autenticazione viene integrata in un’app utilizzata abitualmente, la sua adozione può diventare più semplice anche su altri servizi digitali.
Il vantaggio strategico per WhatsApp consiste nella possibilità di ridurre gli accessi basati su informazioni facilmente condivisibili o sottraibili, spostando la verifica verso i sistemi di sicurezza già presenti sul dispositivo. Al tempo stesso, l’introduzione di più passkey per account riconosce che gli utenti non operano necessariamente all’interno di un solo ecosistema tecnologico.
Il successo dipenderà però dall’esperienza offerta nei momenti più critici: cambio dello smartphone, perdita del dispositivo, passaggio da Android a iOS, revoca delle vecchie credenziali e recupero dell’account. È in queste situazioni che un sistema di autenticazione deve dimostrare di essere non soltanto sicuro, ma anche comprensibile e accessibile.
Anche la trasformazione del PIN in una password più articolata presenta un compromesso simile. Una credenziale più complessa aumenta la protezione teorica, ma richiede procedure di gestione adeguate e una comunicazione chiara verso un pubblico molto eterogeneo.
Sicurezza più solida, ma resta centrale il comportamento dell’utente
Le nuove funzioni rafforzano la protezione degli account WhatsApp agendo su rischi differenti. Le passkey semplificano e rendono più sicura la verifica dell’identità, la nuova verifica in due passaggi aumenta la robustezza della credenziale aggiuntiva e il contesto sulle chiamate sconosciute può ridurre le risposte impulsive.
Resta però una componente che nessun aggiornamento può eliminare completamente: il comportamento dell’utente. Una password prevedibile, un dispositivo lasciato accessibile, una richiesta urgente accettata senza verifiche o una vecchia passkey non rimossa possono continuare a creare vulnerabilità.
La direzione indicata da WhatsApp è quella di una sicurezza più integrata nell’esperienza quotidiana e meno dipendente da codici temporanei o decisioni prese senza informazioni. L’adozione dichiarata delle passkey dimostra che una transizione su larga scala è possibile. Per valutarne pienamente l’efficacia sarà però necessario capire quanto questi strumenti riescano a proteggere gli account nelle condizioni reali, comprese le situazioni di smarrimento, sostituzione dei dispositivi e tentativi di manipolazione delle persone.
