La sicurezza WhatsApp, da martedì 25 agosto 2026, non passa più solo dalla crittografia delle chat. Meta ha annunciato tre interventi sull’account e sulle chiamate: una verifica in due passaggi basata su password, la possibilità di registrare più passkey sullo stesso numero e, su Android, due indizi in più quando squilla un contatto che non avete in rubrica.

Il rollout è graduale. Se nell’app non vedete ancora nulla, aggiornate e riprovate nei giorni successivi. Le tre novità non chiudono ogni squarcio — una sessione già aperta resta una sessione aperta — ma alzano il costo di due attacchi che in Italia funzionano ancora troppo bene: il furto di account con SMS intercettato e la telefonata urgente del finto tecnico.

Cosa vedete se chiama un numero che non è in rubrica

Su Android, quando arriva una chiamata WhatsApp da un numero non salvato, lo schermo non si limita più a un nome vuoto e a due pulsanti. L’app indica se il prefisso appartiene a un altro Paese e quanti gruppi avete in comune con chi sta chiamando. Nell’esempio usato da WhatsApp compare un cellulare tedesco, l’etichetta «non è nei tuoi contatti» e la riga «siete entrambi in 2 gruppi».

Non è una prova di innocenza. Un truffatore può entrare in un gruppo pubblico e ottenere lo stesso segnalino. È, però, un freno. Un prefisso che non frequentate e zero gruppi in comune sono già un motivo per non rispondere di slancio. WhatsApp lo scrive senza giri di parole: i truffatori puntano sull’urgenza, e quei due dati servono a farvi prendere un secondo.

La funzione, per ora, è solo Android. Su iPhone non c’è una data. A giugno era comparso un avviso simile prima di aprire una chat con un numero sconosciuto: stesso spirito, canale diverso. La telefonata resta il terreno più sporco, perché la voce e la fretta fanno cadere anche chi in chat starebbe in guardia.

Più passkey sullo stesso account

Una passkey è una chiave crittografica legata al telefono. Per dimostrare che siete voi usate l’impronta, il volto o il blocco schermo. Il dato biometrico non esce dal dispositivo. Non c’è un codice da dettare al telefono «dell’assistenza». WhatsApp sostiene che oltre un miliardo di persone ne ha già una. Il supporto è arrivato su Android nell’ottobre 2023 e su iPhone nell’aprile 2024.

Finora un account teneva una sola passkey. Chi passa dal telefono di lavoro Android al personale iPhone doveva scegliere un lato. Ora se ne possono aggiungere altre: Impostazioni, Account, Passkeys. Ogni dispositivo fidato ha la sua. Al reinstallare l’app, se una passkey esiste già, il sistema può proporvela al posto dell’SMS.

C’è un secondo uso, meno pubblicizzato e più utile di quanto sembri. La stessa passkey può proteggere il backup delle chat con crittografia end-to-end, al posto della password da ricordare o del codice da 64 caratteri. Chi ha sempre rimandato il backup cifrato perché «quel codice lo perdo» adesso ha una scusa in meno.

Il PIN di sei cifre diventa una password

La verifica in due passaggi esiste dal 2017. Serve quando qualcuno mette le mani sul codice SMS di registrazione: senza il secondo fattore non dovrebbe riuscire a rubarvi l’account. Fino a ieri quel secondo fattore era un PIN di sei numeri. Sei numeri si indovinano. «123456» si indovina ancora meglio.

WhatsApp lo sostituisce con una password alfanumerica. Lettere, numeri, caratteri speciali. Fonti che hanno visto i requisiti parlano di almeno otto caratteri, con una lettera e una cifra. Resta una scelta, non un obbligo. Resta anche il consiglio più onesto dell’annuncio: se usavate «123456», questo è il momento di cambiarla.

Una password si può ancora far digitare a qualcuno al telefono. Una passkey no, almeno non con lo stesso copione. Per questo le due cose non si escludono: la password chiude il buco del PIN; la passkey toglie di mezzo il codice da dettare.

Cosa conviene fare adesso

Tre gesti, in quest’ordine. Prima la passkey, se non ce l’avete: Impostazioni, Account, Passkeys, Crea passkey. Poi una seconda passkey se usate sia Android sia iPhone. Infine la verifica in due passaggi, da PIN a password vera, e il backup cifrato agganciato alla stessa chiave.

Il contesto sulle chiamate arriverà da solo, se siete su Android e l’app è aggiornata. Non trasformate quei due indizi in un via libera. Paese diverso e gruppi in comune non dicono «è un amico». Dicono solo «non è un numero caduto dal cielo». Il resto lo fate voi: non dettate codici, non installate app «di supporto», non trasferite denaro perché «l’account scade tra cinque minuti».

La sicurezza WhatsApp di agosto 2026 non è uno scudo nuovo. È un po’ più di attrito nel punto in cui, di solito, si sbaglia in dieci secondi. Quei dieci secondi, francamente, valgono più di un altro avviso scritto in piccolo.

Fonti:

• WhatsApp — One billion people are now protected with passkeys on WhatsApp, plus more account security features
• TechCrunch — WhatsApp tightens account security with stronger two-step verification and more