WhatsApp está reforzando tres de las barreras que protegen las cuentas: permitirá utilizar varias llaves de acceso, mejora las contraseñas de la verificación en dos pasos y ofrece más información ante llamadas procedentes de números desconocidos. Los cambios buscan reducir uno de los principales problemas de la mensajería móvil: que alguien consiga entrar en una cuenta mediante engaños o credenciales robadas.
WhatsApp guarda mucho más que conversaciones.
Fotografías familiares, documentos, direcciones, contactos profesionales, audios, grupos de trabajo y años de mensajes pueden quedar concentrados dentro de una sola cuenta. Por eso perder su control puede convertirse en un problema bastante más serio que tener que volver a instalar una aplicación.
La plataforma está reforzando ahora varias de sus herramientas de seguridad con cambios que afectan a las llaves de acceso o passkeys, la verificación en dos pasos y las llamadas procedentes de desconocidos.
No son funciones pensadas únicamente para expertos.
Al contrario.
Su objetivo es reducir la dependencia de contraseñas y códigos fáciles de olvidar, reutilizar o entregar por error a otra persona.
El cambio más significativo afecta a las passkeys. WhatsApp permitirá asociar varias llaves de acceso a una misma cuenta, de modo que el usuario pueda disponer de más de una opción segura para verificar su identidad.
La compañía también está reforzando la contraseña utilizada en la verificación en dos pasos y, en Android, incorporando más contexto cuando entra una llamada desde un número que no tenemos guardado.
Son pequeñas barreras que adquieren importancia cuando se combinan.
Porque muchos ataques actuales contra WhatsApp no necesitan romper el cifrado de la aplicación.
Necesitan convencer al usuario.
DSAlicante ya explicó cómo funciona GhostPairing, el fraude que intenta vincular otro dispositivo a una cuenta de WhatsApp. En ese tipo de ataques, la ingeniería social resulta mucho más útil para el delincuente que intentar vulnerar directamente la tecnología de cifrado.
La seguridad de WhatsApp está evolucionando precisamente hacia ese punto: conseguir que tomar el control de una cuenta sea cada vez más difícil aunque alguien obtenga una contraseña o intente engañar al propietario.
Qué es una passkey y por qué WhatsApp quiere que puedas tener varias
Las llaves de acceso llevan tiempo extendiéndose entre grandes servicios digitales.
Su funcionamiento puede parecer complicado por el nombre, pero para el usuario la experiencia suele ser bastante sencilla.
En lugar de escribir una contraseña tradicional, una passkey permite verificar la identidad utilizando mecanismos seguros asociados a nuestros dispositivos. En la práctica, podemos terminar entrando mediante huella dactilar, reconocimiento facial o el método de desbloqueo del teléfono.
La diferencia importante está detrás.
Una contraseña tradicional es un secreto que el usuario conoce.
Puede escribirla.
Puede reutilizarla.
Puede apuntarla.
Y también puede entregársela accidentalmente a un delincuente en una página falsa.
Una llave de acceso funciona de otra manera y está diseñada para resistir mejor determinados ataques de phishing.
WhatsApp ya había incorporado compatibilidad con passkeys. La novedad es que está ampliando el sistema para permitir varias llaves de acceso vinculadas a la misma cuenta.
¿Por qué puede ser útil?
Pensemos en una persona que utiliza distintos dispositivos.
Puede disponer de más de una credencial segura sin depender exclusivamente de una única llave. Eso proporciona mayor flexibilidad y reduce la posibilidad de que un cambio de dispositivo termine convirtiéndose en un problema de acceso.
La función también encaja con la transformación que está experimentando WhatsApp.
La aplicación hace tiempo que dejó de vivir únicamente en un teléfono.
Se utiliza desde ordenadores, navegadores, tabletas y dispositivos vinculados. Meta incluso ha ampliado recientemente WhatsApp para permitir crear una cuenta directamente desde un iPad, otro ejemplo de cómo el servicio está evolucionando hacia un ecosistema multidispositivo.
Cuantos más dispositivos intervienen, más importante resulta controlar correctamente quién puede acceder.
Eso no significa que haya que activar cualquier opción sin mirar.
Cuando las nuevas funciones estén disponibles en una cuenta, el usuario debe revisar siempre los ajustes desde la aplicación oficial de WhatsApp, no desde enlaces recibidos mediante mensajes, SMS o correos electrónicos.
Si alguien envía un enlace diciendo que es necesario “activar la nueva passkey de WhatsApp” con urgencia, la mejor decisión es no utilizarlo.
Abre WhatsApp directamente y comprueba los ajustes desde allí.
La verificación en dos pasos también se hace más fuerte
WhatsApp dispone desde hace tiempo de verificación en dos pasos.
Esta protección añade un PIN que ayuda a impedir que otra persona registre fácilmente nuestro número en otro dispositivo.
Ahora la plataforma está reforzando las posibilidades de esa contraseña para permitir combinaciones más completas.
La idea es sencilla: una credencial más robusta resulta más difícil de adivinar.
Pero hay una advertencia importante.
Una contraseña complicada que utilizamos también en cinco servicios diferentes continúa siendo una mala contraseña.
El problema de reutilizar credenciales es que una filtración producida en una web aparentemente poco importante puede acabar afectando a cuentas mucho más sensibles.
Correo electrónico.
Redes sociales.
Servicios de almacenamiento.
Tiendas online.
O cualquier plataforma en la que hayamos repetido exactamente la misma combinación.
Por eso conviene separar dos conceptos.
Una contraseña debe ser difícil de adivinar.
Y también debe ser única.
La segunda condición se olvida con frecuencia.
DSAlicante ha explicado en su guía sobre cómo saber si un móvil ha sido hackeado que uno de los indicios más preocupantes no es que el teléfono se caliente o pierda batería, sino encontrar sesiones desconocidas, cambios de seguridad no autorizados o mensajes enviados sin nuestra intervención.
En WhatsApp existe una comprobación especialmente sencilla.
Hay que revisar periódicamente Dispositivos vinculados.
Si aparece un ordenador, navegador o equipo que no reconocemos, esa sesión debe cerrarse y conviene revisar inmediatamente la seguridad de la cuenta.
Esta comprobación requiere apenas unos segundos y puede detectar un problema que, de otra forma, permanecería oculto.
WhatsApp quiere darte más pistas cuando llama un desconocido
El tercer cambio afecta a una situación cotidiana.
Suena WhatsApp.
Miramos la pantalla.
Y aparece un número que no tenemos guardado.
Hasta ahora, el contexto disponible para decidir si responder podía ser bastante limitado. WhatsApp está trabajando para mostrar más información en Android cuando la llamada procede de un número desconocido.
El objetivo es ayudar al usuario a tomar una decisión con más contexto antes de interactuar.
Esto resulta especialmente relevante porque las llamadas mediante aplicaciones se han incorporado también al repertorio de quienes practican ingeniería social.
El fraude no siempre comienza con un enlace.
Puede empezar con una conversación.
“Somos del banco”.
“Hay un problema con su cuenta”.
“Le llamamos por un paquete”.
“Necesitamos verificar un código”.
La historia cambia.
El mecanismo psicológico se parece.
Primero se crea una situación de urgencia o confianza. Después se solicita una acción que normalmente no deberíamos realizar.
La regla que protege frente a buena parte de estos intentos continúa siendo sorprendentemente simple:
un código de verificación recibido en nuestro teléfono no debe entregarse a otra persona.
Ni siquiera si quien lo solicita conoce nuestro nombre.
Ni si asegura trabajar para una empresa conocida.
Ni si afirma que la cuenta quedará bloqueada dentro de cinco minutos.
Precisamente el artículo de DSAlicante sobre cómo saber si alguien te ha bloqueado en WhatsApp advierte también de otro riesgo: aplicaciones y páginas que prometen revelar información secreta sobre WhatsApp y terminan solicitando permisos, credenciales o vinculaciones que el usuario nunca debería conceder.
La curiosidad puede convertirse en una puerta de entrada.
Los cuatro ajustes de WhatsApp que merece la pena comprobar
Las nuevas funciones irán llegando según versión, sistema y disponibilidad, por lo que no todos los usuarios tienen necesariamente que encontrar exactamente las mismas opciones al mismo tiempo.
Pero existen varias comprobaciones que pueden hacerse sin esperar.
La primera es actualizar WhatsApp desde la tienda oficial del teléfono.
En Android, Google Play.
En iPhone, App Store.
No es recomendable descargar una supuesta actualización mediante un archivo enviado por mensaje o desde una página desconocida.
La segunda es entrar en los ajustes de la cuenta y revisar las opciones de seguridad disponibles, especialmente la verificación en dos pasos y las llaves de acceso cuando estén habilitadas.
La tercera es comprobar Dispositivos vinculados.
Cada equipo de esa lista debería resultar familiar.
Un ordenador del trabajo que ya no utilizamos, un navegador antiguo o una sesión que directamente no reconocemos son motivos suficientes para cerrar el acceso.
La cuarta medida ocurre fuera de WhatsApp: proteger correctamente el propio teléfono.
Una cuenta muy segura sirve de poco si alguien consigue un móvil desbloqueado y puede utilizar las aplicaciones que ya tienen una sesión iniciada.
En Android existen actualmente funciones capaces de reaccionar incluso ante determinados robos físicos. DSAlicante ha publicado una guía para activar la protección antirrobo de Android y el bloqueo remoto del teléfono, una capa adicional especialmente útil porque intenta proteger el dispositivo precisamente cuando desaparece de nuestras manos.
PIN robusto.
Biometría.
Notificaciones sensibles ocultas.
Sistema actualizado.
Cuenta protegida.
No existe un único interruptor que vuelva inexpugnable un teléfono.
La seguridad funciona mediante capas.
La mayor amenaza puede seguir estando delante de la pantalla
WhatsApp puede mejorar sus sistemas de autenticación.
Puede añadir passkeys.
Puede reforzar contraseñas.
Puede mostrar más información cuando llama un desconocido.
Pero existe una vulnerabilidad que ninguna actualización puede eliminar completamente: la capacidad de un delincuente para convencer a una persona de que haga voluntariamente aquello que no debería hacer.
Es la razón por la que la ingeniería social continúa funcionando.
Un atacante no necesita descubrir una vulnerabilidad extraordinariamente sofisticada si consigue que la víctima le entregue el código que necesita.
Por eso las nuevas herramientas de WhatsApp son importantes, pero deben acompañarse de hábitos igualmente sencillos.
No compartir códigos.
No autorizar dispositivos que no reconocemos.
No instalar supuestas actualizaciones recibidas por mensaje.
No introducir credenciales desde enlaces inesperados.
Y desconfiar de cualquier persona que convierta una gestión digital en una emergencia artificial.
WhatsApp está reforzando ahora la parte tecnológica de esa defensa.
Las varias llaves de acceso pueden ofrecer más flexibilidad y seguridad para autenticar una cuenta.
La verificación en dos pasos gana capacidad para utilizar credenciales más robustas.
Y las llamadas desconocidas en Android ofrecerán más información para que el usuario pueda decidir mejor antes de responder.
Son cambios menos vistosos que un nuevo diseño o una función para enviar fotografías.
Pero probablemente sean más importantes.
Porque cuando una aplicación contiene buena parte de nuestra vida digital, la mejor novedad no siempre es algo que podamos enviar a nuestros contactos.
A veces es aquello que impide que otra persona pueda entrar.
