A WhatsApp új biztonsági funkciókkal nehezíti meg a fiókok eltérítését és a felhasználók megtévesztését. A fejlesztések között szerepel a hosszabb jelszót támogató kétlépcsős azonosítás, több hozzáférési kulcs használata ugyanahhoz a fiókhoz, valamint az ismeretlen hívókról megjelenő részletesebb tájékoztatás.
A Meta 2026. augusztus 25-i bejelentése szerint az új megoldások több, egymástól eltérő támadási módszer ellen nyújtanak segítséget: az ellenőrzőkódok megszerzése, a gyenge fiókvédelem kihasználása, a megtévesztéssel jóváhagyatott eszközkapcsolás és a sürgetésre építő telefonos csalások ellen.
A változások jelentőségét az adja, hogy a támadóknak gyakran nincs szükségük az üzenetek titkosításának feltörésére. Elegendő lehet rávenniük a felhasználót egy kód átadására vagy egy idegen eszköz hozzákapcsolására a fiókjához.
A WhatsApp új funkciói ezeknek a lehetőségeknek a szűkítését célozzák. Az egyes megoldások elérhetősége ugyanakkor eltérhet a bevezetés során. A Meta hivatalos bejelentése
Hosszabb jelszó válthatja fel a hatjegyű PIN-kódot
A WhatsApp kétlépcsős azonosítása eddig egy hatjegyű PIN-kóddal egészítette ki a telefonszám regisztrációjához használt ellenőrzést. Ez megnehezítette, hogy valaki kizárólag egy megszerzett vagy elfogott egyszer használatos kód birtokában átvegye a fiókot.
A rövid, kizárólag számokból álló PIN-kódnak azonban vannak korlátai. A felhasználók gyakran könnyen megjegyezhető, de kiszámítható számsorokat választanak, például ismétlődő számjegyeket vagy egyszerű sorozatokat.
Az új megoldás hosszabb, betűket, számokat és speciális karaktereket is tartalmazó jelszót tesz lehetővé. Egy megfelelően megválasztott, egyedi jelszó lényegesen ellenállóbb lehet a találgatással szemben, mint egy rövid, kiszámítható PIN.
A jelszó külön védelmi réteget biztosít. Ha a támadó megszerzi a regisztrációhoz használt egyszeri kódot, a kétlépcsős ellenőrzés által védett folyamatban a külön beállított jelszóra is szüksége lehet a fiók átvételéhez.
Ez azért fontos, mert a bűnözők gyakran magát a hitelesítési folyamatot támadják. Ügyfélszolgálatosnak adják ki magukat, megtévesztő üzenetet küldenek, vagy a telefonszámhoz kapcsolódó gyengeségeket használják ki.
A hosszabb jelszó önmagában nem teszi adathalászat-állóvá a bejelentkezést. A felhasználó továbbra is megadhatja egy hamis oldalon, vagy elárulhatja valakinek, akit tévesen megbízhatónak gondol. Az előnye az, hogy erősebb második akadályt állít az egyszer használatos kód mellé.
Érdemes hosszú, kizárólag ehhez a fiókhoz használt jelszót választani. Az e-mailhez, banki szolgáltatáshoz vagy más közösségi oldalhoz tartozó jelszó újrafelhasználása kerülendő. Egy jelszókezelő segíthet az erős jelszó létrehozásában és biztonságos tárolásában.
Miért különösen veszélyes egy WhatsApp-fiók eltérítése?
Egy megszerzett üzenetküldő fiók a támadónak egy már kialakult kapcsolati kör bizalmát is elérhetővé teheti.
A bűnöző a valódi tulajdonos nevében sürgős pénzügyi segítséget kérhet, kártékony hivatkozásokat küldhet, újabb ellenőrzőkódokat próbálhat megszerezni, vagy a kapcsolatok fiókjait is célba veheti.
Az ilyen üzenetek azért lehetnek hatásosak, mert ismerős személytől látszanak érkezni. Egy rokonnak, munkatársnak vagy barátnak kiadott támadó könnyebben kérhet pénzt és érzékeny információkat, mint egy ismeretlen feladó.
Munkahelyi környezetben a megszerzett fiók vezetői megszemélyesítésre, belső információk gyűjtésére vagy fizetési csalás előkészítésére is használható.
A brit Nemzeti Kiberbiztonsági Központ, az NCSC az üzenetküldő alkalmazások célzott támadásaira is figyelmeztetett. Javaslatai között szerepel a kétlépcsős azonosítás és a hozzáférési kulcsok bekapcsolása, a váratlan QR-kódok kerülése, valamint a kapcsolt eszközök rendszeres ellenőrzése. Az NCSC figyelmeztetése
A végpontok közötti titkosítás az üzeneteket a kommunikáló végpontok között védi. Nem akadályozza meg azonban, hogy egy illetéktelen személy az egyik hozzáférést szerzett végponton, például egy megtévesztéssel engedélyezett kapcsolt eszközön olvassa az elérhető üzeneteket.
Ezért a titkosítást megfelelő fiókvédelemmel, eszközkezeléssel és felhasználói tudatossággal is ki kell egészíteni.
Több hozzáférési kulcs használható Androidon és iOS-en
A második jelentős újdonság lehetővé teszi, hogy ugyanahhoz a WhatsApp-fiókhoz egynél több hozzáférési kulcs, vagyis passkey tartozzon.
A hozzáférési kulcs használatát a felhasználó jellemzően a készülékén már beállított módszerrel hagyja jóvá: ujjlenyomattal, arcfelismeréssel vagy a képernyőzár kódjával.
A háttérben kriptográfiai hitelesítés történik. A felhasználónak nem kell hagyományos jelszót begépelnie vagy SMS-ben érkező kódot átmásolnia az adott passkey-alapú folyamatban.
A bejelentés szerint az Androidot és iOS-t egyaránt használók több hozzáférési kulcsot adhatnak ugyanahhoz a fiókhoz. A beállítás az alkalmazás Beállítások → Fiók → Hozzáférési kulcsok, angol felületen Settings → Account → Passkeys menüpontjában érhető el.
Ez különösen hasznos lehet annak, aki több eszközökoszisztémát használ, személyes és munkahelyi telefon között vált, vagy Androidról iPhone-ra költözik.
A több kulcs csökkentheti az egyetlen készüléktől vagy hitelesítőadat-tárolótól való függést. Nem jelent azonban automatikusan minden platform között azonos szinkronizálási vagy helyreállítási lehetőséget. Ezeket továbbra is befolyásolja az operációs rendszer, a hitelesítőadat-szolgáltató és a fiók konfigurációja.
A Meta közleménye nem részletezi a hozzáadható kulcsok maximális számát, az összes támogatott szolgáltatói kombinációt vagy a felhasználónkénti bevezetés pontos menetét.
Hogyan véd a passkey az adathalászat ellen?
A hozzáférési kulcs nyilvános kulcsú kriptográfiára épül. Létrehozásakor egy kulcspár keletkezik: a nyilvános kulcsot a szolgáltatás regisztrálja, a magánkulcsot pedig a felhasználó eszköze vagy hitelesítőadat-kezelője védi.
Bejelentkezéskor a szolgáltatás egy kriptográfiai kihívást küld. Erre a hitelesítő a magánkulccsal készít választ, amelynek érvényességét a szolgáltatás a nyilvános kulccsal ellenőrzi.
A magánkulcsot a felhasználó nem gépeli be egy űrlapra. A hozzáférési kulcs emellett ahhoz a valódi szolgáltatáshoz kötődik, amelyhez létrehozták. Ez teszi ellenállóvá a hagyományos, hamis bejelentkezési oldalakat használó adathalászattal szemben.
A FIDO szabványok szerint a helyi jóváhagyáshoz használt biometrikus adat az eszközön marad. A WhatsApp a hitelesítés során nem az ujjlenyomat vagy az arckép másolatát kapja meg, hanem a belépés ellenőrzéséhez szükséges kriptográfiai bizonyítékot. A FIDO hitelesítési szabványai
A passkey csökkentheti az SMS-kódok kicsalásából és a telefonszám kompromittálásának egyes eseteiből eredő kockázatot is.
A teljes fiókvédelem ugyanakkor a helyreállítási és alternatív belépési folyamatoktól is függ. Ha marad egy gyengébben védett kerülőút, a támadó azt is célba veheti.
Ezért a hozzáférési kulcsot érdemes erős kétlépcsős azonosítási jelszóval, a mobilszolgáltatói fiók védelmével és a kapcsolt eszközök ellenőrzésével együtt használni.
A Meta szerint már több mint egymilliárdan állítottak be hozzáférési kulcsot
A Meta közlése szerint több mint egymilliárd ember hozott létre hozzáférési kulcsot a WhatsApp-fiókjához.
Ez a vállalat által közölt adat a technológia széles körű elterjedésére utal. Nem azonos azonban azzal, hogy minden érintett rendszeresen passkeyjel jelentkezik be.
A közlemény nem tartalmaz részletes földrajzi vagy operációs rendszerenkénti bontást, és azt sem mutatja meg, hányan használják ténylegesen a kulcsot készülékcsere vagy fiók-helyreállítás során.
A biztonsági csapatok számára mégis fontos lehet, hogy a felhasználók egyre gyakrabban találkoznak ezzel a hitelesítési móddal személyes alkalmazásaikban. Az ismerős működés a munkahelyi bevezetést is megkönnyítheti.
Vállalati környezetben továbbra is külön kell mérlegelni a szinkronizált és az eszközhöz kötött hozzáférési kulcsokat. Előbbiek támogatott szolgáltatói környezetben több készüléken is rendelkezésre állhatnak, utóbbiak egy adott eszközhöz vagy biztonsági kulcshoz kötődnek. A hordozhatóság és a helyreállítás feltételei ennek megfelelően különböznek. A FIDO Alliance passkey-ismertetője
Androidon több információ jelenik meg az ismeretlen hívókról
A WhatsApp az Androidon megjelenő hívásképernyőt is bővíti, ha a hívó telefonszáma nem szerepel a névjegyzékben.
A felhasználó például láthatja, hogy a szám másik országhoz tartozik-e, illetve vannak-e közös csoportjai a hívóval.
A szám országkódja nem bizonyítja a hívó tényleges földrajzi helyét. A külföldi szám önmagában nem jelent csalást, és a közös csoporttagság sem igazolja, hogy a másik fél megbízható.
Az információk mégis segíthetnek megállni és átgondolni a helyzetet. Ha valaki helyi szervezet képviselőjének mondja magát, de a telefonszám másik országhoz kapcsolódik, az indokolhat további ellenőrzést.
Egy közös szakmai vagy közösségi csoport támpontot adhat a hívó kilétéhez. A támadók azonban nyilvános csoportokhoz is csatlakozhatnak, illetve valódi tagok fiókjait is megszerezhetik.
A fejlesztés a telefonos csalásokban gyakori sürgetést próbálja megtörni. A bűnözők sokszor azonnali döntést követelnek, és igyekeznek megakadályozni, hogy az áldozat más csatornán ellenőrizze a történetet.
A bejelentés ezt az újdonságot kifejezetten Androidhoz kapcsolja. Nem ad meg időpontot arra, hogy azonos formában mikor válhat elérhetővé iOS-en.
Az ellenőrzőkódok kicsalása továbbra is gyakori módszer
A fiókeltérítés egyik jellemző módja az egyszer használatos regisztrációs kód megszerzése.
A támadó a sértett telefonszámával regisztrációt kezdeményezhet, aminek következtében a valódi tulajdonos ellenőrzőkódot kap. Ezután barátnak, ügyfélszolgálatosnak vagy egy megbízható szervezet munkatársának adja ki magát.
Azt állíthatja, hogy a kód véletlenül került a felhasználóhoz, vagy egy biztonsági probléma megoldásához van rá szükség.
Ha az áldozat átadja, a támadó másik készüléken regisztrálhatja a fiókot, amennyiben ezt további védelmi intézkedés nem akadályozza meg.
Az amerikai Szövetségi Kereskedelmi Bizottság, az FTC ezért arra figyelmeztet, hogy az ellenőrzőkódokat nem szabad átadni azoknak, akik üzenetben vagy telefonon kérik őket. Az FTC útmutatója az ellenőrzőkódokkal kapcsolatos csalásokról
Kapcsolódó veszély a SIM-cserés, vagyis SIM-swap támadás. Ebben a bűnöző megpróbálja a telefonszámot az általa ellenőrzött SIM-re vagy készülékre áthelyeztetni. Siker esetén hozzá érkezhetnek az áldozat SMS-ei és hívásai, köztük az ellenőrzőkódok.
A mobilszolgáltatói fiókhoz beállított külön PIN vagy jelszó csökkentheti a jogosulatlan módosítások kockázatát. A WhatsApp erősebb hitelesítése további akadályt jelenthet, de a védelem mértékét a regisztráció és a helyreállítás teljes folyamata határozza meg.
Az eszközkapcsolási csalás külön támadási útvonal
Az augusztusi változásokat egy korábbi, az eszközkapcsolásos visszaélések ellen bevezetett fejlesztés előzte meg.
A Meta márciusban jelentette be azokat a WhatsApp-figyelmeztetéseket, amelyek gyanús viselkedési jelek alapján hívhatják fel a felhasználó figyelmét egy kockázatos eszközkapcsolási kérésre.
A csaló ilyenkor QR-kód beolvasására vagy eszközkapcsolási kód megadására próbálja rávenni az áldozatot. Az ürügy lehet szavazás egy versenyen, csatlakozás egy csoporthoz, időpont-visszaigazolás, fiókjavítás vagy kedvezményes ajánlat.
A jóváhagyás valójában a támadó eszközét kapcsolhatja hozzá a felhasználó WhatsApp-fiókjához.
Ez eltér a fiók teljes újraregisztrálásától. A támadó egy kapcsolt munkameneten keresztül juthat hozzáféréshez, miközben a tulajdonos továbbra is használja az alkalmazást.
Egy erős jelszó vagy passkey nem feltétlenül akadályozza meg, hogy a megtévesztett felhasználó maga engedélyezzen egy idegen eszközt.
A Meta szerint az új figyelmeztetések a kérés eredetéről és körülményeiről is adhatnak tájékoztatást. A Meta eszközkapcsolási figyelmeztetésekről szóló bejelentése
A kapcsolt eszközök listáját ezért rendszeresen át kell nézni, az ismeretlen munkameneteket pedig meg kell szüntetni. A váratlan kéréseket külön, megbízható csatornán érdemes ellenőrizni.
Szigorúbb beállítások a fokozottan veszélyeztetett felhasználóknak
A WhatsApp januárban mutatta be a Strict Account Settings, vagyis a szigorú fiókbeállítások funkciót.
Ez olyan felhasználók számára készült, akik kifinomult, célzott támadásoknak lehetnek kitéve, például újságírók és közszereplők.
Bekapcsolása korlátozóbb működést eredményezhet: blokkolhatja az ismeretlen feladóktól érkező mellékleteket és médiatartalmakat, elnémíthatja az ismeretlen hívókat, és más beállításokat is szigoríthat.
A funkció a Beállítások → Adatvédelem → Speciális, angolul Settings → Privacy → Advanced útvonalon kereshető. A Meta tájékoztatója a szigorú fiókbeállításokról
A szigorítások a használhatóságot is érinthetik. Aki rendszeresen fogad dokumentumokat új ügyfelektől vagy ismeretlen számokról, annak a korlátozások kényelmetlenséget okozhatnak.
Fokozott kockázat esetén viszont fontosabb lehet a váratlan tartalmak és kéretlen megkeresések csökkentése, mint az alkalmazás összes kényelmi funkciójának megőrzése.
Mit jelentenek az újdonságok a vállalatoknak?
A WhatsAppot személyes beszélgetések mellett ügyfélkapcsolatokra, munkatársi egyeztetésre és napi üzleti koordinációra is használják.
Ha ezek a folyamatok személyes fiókokon keresztül működnek, a fiókbiztonság vállalati kockázattá válhat.
Egy megszerzett fiókból a támadó pénzt kérhet, bizalmas információk átadását kezdeményezheti, vagy hitelesnek látszó adathalász üzeneteket küldhet a munkatársaknak.
A csoportos beszélgetésekből szervezeti kapcsolatokra, vezetők nevére és belső folyamatokra is következtethet. Ezek az információk a későbbi megtévesztést tehetik meggyőzőbbé.
Az NCSC munkahelyi kommunikációhoz a szervezet által biztosított szolgáltatások és eszközök használatát, valamint a belső szabályok betartását javasolja.
A biztonságtudatossági képzésekben ezért az üzenetküldő alkalmazások kockázatainak is helyet kell kapniuk: az ellenőrzőkódok kicsalásának, a megtévesztő QR-kódoknak, az idegen kapcsolt eszközöknek és az ismerősnek látszó feladók megszemélyesítésének.
A WhatsAppot üzleti célra használó szervezeteknek egyértelmű eljárásra van szükségük a pénzkérések, bankszámlaadat-változások és vezetői utasítások ellenőrzésére.
Ha egy üzenet pénzt, érzékeny adatot vagy azonnali intézkedést kér, különösen fontos a megerősítés egy másik, korábban ismert és megbízható csatornán.
A hatékony fiókvédelem több megoldást kapcsol össze
A WhatsApp fejlesztései a támadások különböző pontjain segíthetnek.
A hosszabb kétlépcsős azonosítási jelszó erősítheti az ellopott regisztrációs kód utáni védelmet. A hozzáférési kulcs adathalászatnak ellenálló hitelesítést biztosíthat. A hívóinformációk időt adhatnak a gyanús megkeresés értékelésére, az eszközkapcsolási figyelmeztetések pedig megakaszthatják egy idegen munkamenet engedélyezését.
Ezek egyike sem nyújt önmagában teljes védelmet. Továbbra is veszélyt jelenthet, ha valaki átadja a jelszavát, jóváhagy egy megtévesztő eszközkapcsolást, vagy kizárólag az ismerős név miatt megbízik egy váratlan kérésben.
A felhasználóknak érdemes:
- naprakészen tartaniuk az alkalmazást;
- hosszú, egyedi kétlépcsős azonosítási jelszót beállítaniuk, amikor a funkció elérhetővé válik;
- hozzáférési kulcsot létrehozniuk a támogatott eszközökön;
- rendszeresen ellenőrizniük a kapcsolt munkameneteket;
- külön csatornán megerősíteniük a váratlan kód-, jelszó-, QR-kód- és pénzkéréseket;
- fokozott veszélyeztetettség esetén mérlegelniük a szigorú fiókbeállításokat.
A Meta bejelentése nem tartalmaz minden országra, operációs rendszerre és fióktípusra kiterjedő részletes bevezetési ütemtervet. Egy új védelem megjelenését ezért a saját alkalmazásban is ellenőrizni kell.
A védelem gyakorlati eredménye azon múlik, hogy a felhasználók beállítják-e az elérhető lehetőségeket, és felismerik-e azokat a helyzeteket, amikor a támadó éppen velük próbálja jóváhagyatni a hozzáférést.
Az eredeti angol cikk címe: WhatsApp Strengthens Account Security With Password-Based Two-Step Verification, Multiple Passkeys and New Scam Call Warnings.
