WhatsApp od wtorku pozwala zastąpić sześciocyfrowy PIN dłuższym, alfanumerycznym hasłem i dodać więcej niż jeden passkey do konta. To reakcja na coś, co w Polsce nie jest abstrakcją: w 2025 roku CERT Polska zarejestrował 78 391 incydentów phishingowych, a przejęte konto na komunikatorze wciąż jest jednym z najprostszych sposobów, by wyłudzić od znajomych kod BLIK. Sprawdzamy, co dokładnie się zmienia, ile daje realnie ochrony i czy 18,3 mln polskich użytkowników WhatsAppa powinno cokolwiek w swoich ustawieniach kliknąć jeszcze dziś.
Co dokładnie ogłosił WhatsApp
We wtorek Meta poinformowała o pakiecie zmian bezpieczeństwa dla WhatsAppa. Pierwsza i najważniejsza: weryfikacja dwuetapowa (drugi krok logowania, potwierdzający, że to naprawdę właściciel konta próbuje się zalogować, a nie ktoś, kto przechwycił jednorazowy kod SMS) przestaje opierać się wyłącznie na sześciocyfrowym PIN-ie. Użytkownik może teraz ustawić dłuższe hasło, zawierające litery, cyfry i znaki specjalne, co znacznie utrudnia jego odgadnięcie metodą prób i błędów albo tzw. brute force.
Druga zmiana dotyczy passkeys — cyfrowych kluczy dostępu opartych na odcisku palca lub Face ID, które WhatsApp wprowadził po raz pierwszy w 2024 roku. Do tej pory można było przypisać do konta jeden passkey. Teraz aplikacja pozwala dodać ich kilka, co ma sens dla kogoś, kto loguje się zarówno z iPhone’a, jak i z telefonu z Androidem — każde urządzenie może mieć własny klucz, bez konieczności kombinowania z jednym uniwersalnym.
Trzecia nowość dotyczy na razie wyłącznie Androida i nie jest stricte zabezpieczeniem konta, tylko ochroną przed oszustwami telefonicznymi. Gdy dzwoni do nas numer spoza kontaktów, aplikacja pokaże dodatkowy kontekst — czy połączenie przychodzi z zagranicy i czy z dzwoniącym mamy jakieś wspólne grupy. To wprost odpowiedź na fałszywe połączenia podszywające się pod firmy kurierskie, banki czy urzędy.
Zmiany wpisują się w szerszy trend w branży komunikatorów. Signal w tym samym czasie rozwija automatyczną weryfikację kluczy szyfrowania, a Telegram łączy passkeys z promocjami na prezenty premium — każdy z dużych graczy stara się przenieść ciężar bezpieczeństwa z pamięci użytkownika (musisz zapamiętać PIN) na biometrię i sprzęt (telefon sam potwierdza tożsamość odciskiem palca).
Dlaczego Meta robi to właśnie teraz
Sześciocyfrowy PIN w weryfikacji dwuetapowej WhatsAppa istniał od lat i miał jedną wadę, o której branża bezpieczeństwa mówiła od dawna: 6 cyfr to zaledwie milion kombinacji, a większość ludzi wybiera PIN-y intuicyjne — daty urodzin, powtarzające się cyfry, fragmenty numeru telefonu. W połączeniu z phishingiem, który wyłudza jednorazowy kod SMS, PIN był ostatnią, dość słabą linią obrony.
Passkeys WhatsApp wprowadził w 2024 roku najpierw na iOS, potem rozszerzył na Androida. Rozwiązanie działa w oparciu o kryptografię klucza publicznego — telefon przechowuje prywatną część klucza lokalnie i nigdy jej nie wysyła, więc nawet perfekcyjna fałszywa strona logowania nie jest w stanie wyłudzić danych, które pozwoliłyby zalogować się z innego urządzenia. Atakujący potrzebowałby fizycznego dostępu do telefonu ofiary, co diametralnie zmienia skalę zagrożenia — z globalnego (każdy może wysłać phishing) na lokalne (trzeba ukraść albo odblokować konkretny telefon).
Ograniczenie do jednego passkey było więc irytującym kompromisem: ktoś korzystający równolegle z iPhone’a służbowego i Androida prywatnego musiał wybierać, które urządzenie „posiada” klucz, albo w ogóle rezygnował z passkeys na rzecz mniej bezpiecznego PIN-u. Rozszerzenie na wiele kluczy usuwa tę barierę wejścia.
Te zmiany nie są odizolowanym wydarzeniem — to kolejny element układanki, którą Meta buduje wokół WhatsAppa od kilku miesięcy. W czerwcu aplikacja wprowadziła nazwy użytkownika, pozwalające dzielić się profilem bez ujawniania numeru telefonu. W maju wystartował płatny plan WhatsApp Plus z dodatkowymi funkcjami personalizacji profilu i statystykami relacji, uruchomiony równolegle z analogicznymi planami dla Instagrama i Facebooka. Widać w tym spójną strategię: WhatsApp przestaje być czystym komunikatorem tekstowym, a staje się platformą z tożsamością cyfrową, subskrypcjami i coraz cenniejszymi danymi kontaktowymi — a to wszystko wymaga solidniejszego zamka u wejścia.
Ile to realnie daje ochrony — i gdzie są luki
Trzeba to powiedzieć wprost: żadna z tych zmian nie jest rewolucją technologiczną. Dłuższe hasło alfanumeryczne to wciąż coś, co można zapisać na karteczce, zapomnieć albo — co gorsza — użyć tego samego hasła co do poczty czy bankowości, co w praktyce tworzy nowy wektor ataku zamiast go zamykać. WhatsApp nie wymusza unikalności hasła, więc realna siła tej funkcji zależy wyłącznie od dyscypliny użytkownika.
Passkeys są zdecydowanie mocniejszym rozwiązaniem, ale mają swój własny problem: adopcję. Z danych branżowych od lat wynika, że nawet gdy platformy oferują logowanie biometryczne, spora część użytkowników z niego nie korzysta, bo nie rozumie różnicy między passkey a hasłem albo po prostu nie zauważa komunikatu w ustawieniach. WhatsApp nie ogłosił żadnego mechanizmu wymuszającego migrację — funkcja jest opcjonalna, co oznacza, że najbardziej narażeni użytkownicy (starsi, mniej techniczni) prawdopodobnie w ogóle jej nie włączą, chyba że ktoś zrobi to za nich.
Kontekst połączeń na Androidzie to z kolei funkcja, która dotyka tylko części ekosystemu — użytkownicy iPhone’ów na razie jej nie dostaną, mimo że iOS ma w Polsce znaczący udział rynkowy. To typowy wzorzec dla Mety: nowe funkcje trafiają najpierw tam, gdzie łatwiej je wdrożyć technicznie, a nie tam, gdzie akurat jest największe ryzyko.
Eksperci od bezpieczeństwa, na których powołuje się branża, od dawna podkreślają, że najsłabszym ogniwem w każdym systemie uwierzytelniania pozostaje inżynieria społeczna — czyli manipulacja człowiekiem, a nie łamanie kryptografii. Żadne hasło ani passkey nie obroni użytkownika, który sam, dobrowolnie, przekaże kod weryfikacyjny fałszywemu „pracownikowi banku” albo kliknie w link do rzekomego zwrotu podatku. WhatsApp wzmacnia zamek, ale furtkę wciąż otwiera sam użytkownik, jeśli da się przekonać.
Weryfikacja dwuetapowa WhatsApp w Polsce — skala problemu
Tu robi się konkretnie. Z danych Mediapanel wynika, że WhatsApp jest w Polsce drugim najpopularniejszym komunikatorem po Messengerze — w ostatnich pomiarach z aplikacji korzystało 18,3 mln internautów miesięcznie, co daje zasięg na poziomie 61,5 proc., a przeciętny użytkownik spędza w niej ponad trzy i pół godziny w miesiącu. To już nie jest nisza — to infrastruktura komunikacyjna, z której korzysta większość dorosłych Polaków online.
Problem w tym, że ta skala przekłada się wprost na atrakcyjność WhatsAppa jako celu ataków. CERT Polska w raporcie rocznym za 2025 rok odnotował rekordowe 260 783 unikalne incydenty cyberbezpieczeństwa — wzrost o 152 proc. rok do roku. Aż 97 proc. wszystkich zdarzeń to oszustwa komputerowe, a phishing sam w sobie odpowiadał za 78 391 incydentów, czyli 30 proc. wszystkich zgłoszeń. Przestępcy najczęściej podszywali się pod OLX (28,5 tys. przypadków) i Allegro (22,5 tys.), ale komunikatory — Messenger i WhatsApp — są tu nie tyle celem finalnym, co narzędziem dystrybucji.
Mechanizm, który w polskim internecie powtarza się od lat, wygląda tak: przestępca przejmuje konto na WhatsAppie (najczęściej właśnie przez wyłudzony kod weryfikacyjny), po czym pisze do listy kontaktów ofiary wiadomości w stylu „mam awarię telefonu, pilnie potrzebuję kodu BLIK, oddam wieczorem”. Ofiary drugiego rzutu — czyli znajomi osoby, której skradziono konto — ufają nadawcy, bo rozmawiają z prawdziwym, znanym numerem i prawdziwym zdjęciem profilowym. To odmiana klasycznego oszustwa „na wnuczka”, tylko przeniesiona z telefonu na komunikator i celująca nie tylko w seniorów, ale w każdego, kto ma znajomych korzystających z BLIK-a.
Policja i CERT Orange Polska od miesięcy ostrzegają też przed wariantem z fałszywymi konkursami — przejęte konto rozsyła linki z prośbą o „oddanie głosu”, co w praktyce prowadzi do kolejnej fali przejęć albo wyłudzenia danych logowania. W tym kontekście dodanie mocniejszego hasła i wielu passkeys do WhatsAppa to nie kosmetyka, tylko realna próba ograniczenia liczby kont, które w ogóle da się przejąć na starcie łańcucha oszustwa.
Warto dodać kontekst regulacyjny. Urząd Ochrony Danych Osobowych od lat traktuje przejęcie konta komunikatora jako potencjalny incydent naruszenia danych osobowych, jeśli dochodzi do wycieku kontaktów czy korespondencji, a RODO nakłada na administratorów danych obowiązki związane z odpowiednim zabezpieczeniem — Meta jako operator WhatsAppa podlega tym samym wymogom co każda inna platforma działająca na terenie UE. Wzmocnienie weryfikacji dwuetapowej można więc czytać także jako element zgodności regulacyjnej, nie tylko dbałości o użytkownika.
Jak to wygląda w praktyce — krok po kroku
Zmiana hasła w weryfikacji dwuetapowej znajduje się w WhatsAppie w Ustawieniach, w sekcji Konto, pod pozycją „Weryfikacja dwuetapowa”. Użytkownik, który miał już włączony PIN, może go zamienić na dłuższe hasło bez utraty dotychczasowych ustawień — proces wymaga jedynie potwierdzenia starego PIN-u i wpisania nowego hasła dwukrotnie. Warto przy tej okazji dodać adres e-mail do odzyskiwania konta, jeśli jeszcze się tego nie zrobiło — to WhatsApp rekomendował od dawna, ale wielu użytkowników wciąż tego pola nie wypełnia.
Dodanie kolejnego passkey wygląda podobnie jak przy pierwszym — aplikacja prosi o potwierdzenie tożsamości biometrią na nowym urządzeniu i zapisuje osobny klucz powiązany z tym konkretnym telefonem. To oznacza też, że przy zmianie telefonu warto pamiętać o dodaniu nowego passkey przed pozbyciem się starego urządzenia, żeby nie zostać bez żadnego skonfigurowanego klucza dostępu.
Funkcja kontekstu połączeń na Androidzie nie wymaga żadnej konfiguracji — działa automatycznie, o ile użytkownik ma zaktualizowaną wersję aplikacji. Dla firm i freelancerów, którzy używają WhatsAppa Business do kontaktu z klientami, to dodatkowy sygnał ostrzegawczy przy odbieraniu połączeń od nieznanych numerów, co bywa szczególnie przydatne przy sprzedaży online, gdzie oszustwa „na kuriera” i „na fałszywego kupującego” są codziennością.
Co to znaczy dla polskiego rynku
Po pierwsze, skala WhatsAppa w Polsce — 18,3 mln użytkowników — oznacza, że nawet drobna poprawa bezpieczeństwa przekłada się na setki tysięcy potencjalnie uratowanych kont rocznie, jeśli funkcja faktycznie zostanie przyjęta. Problem w tym, że „jeśli” robi tu ogromną robotę: WhatsApp nie ogłosił żadnej kampanii edukacyjnej ani wymuszenia migracji z PIN-u na hasło czy passkey.
Po drugie, biorąc pod uwagę, że najpopularniejszym scenariuszem oszustwa w Polsce jest przejęcie konta i wyłudzenie BLIK-a od znajomych, mocniejsza weryfikacja dwuetapowa realnie zamyka jeden z najłatwiejszych punktów wejścia dla przestępców. To nie eliminuje zagrożenia całkowicie, ale podnosi próg trudności ataku z „wystarczy przekonać kogoś do podania sześciu cyfr” do „trzeba złamać dłuższe hasło albo fizycznie dostać się do telefonu”.
Po trzecie, funkcja kontekstu połączeń trafia na Androida jako pierwszy, co w polskich realiach ma sens — Android od lat ma w Polsce wyraźnie większy udział rynkowy niż iOS, więc więcej osób zobaczy tę ochronę od razu. Szkoda jednak, że użytkownicy iPhone’ów, w tym często starsi odbiorcy telefonów przekazywanych przez rodzinę, na razie zostają bez tej warstwy ostrzegawczej.
Po czwarte, żadna z tych zmian nie rozwiązuje najważniejszego problemu z polskich statystyk CERT — że 97 proc. incydentów to wciąż oszustwa oparte na manipulacji, nie na łamaniu zabezpieczeń technicznych. WhatsApp może zbudować najsilniejszy zamek na świecie, a i tak nie powstrzyma kogoś, kto sam dobrowolnie przekaże kod weryfikacyjny fałszywemu „pracownikowi banku” przez telefon.
Czy warto włączyć nowe zabezpieczenia WhatsApp?
Tak, jeśli:
- Nadal masz ustawiony prosty, sześciocyfrowy PIN w weryfikacji dwuetapowej albo w ogóle jej nie włączyłeś
- Korzystasz z WhatsAppa równolegle na dwóch urządzeniach (np. iPhone i Android, telefon prywatny i służbowy)
- Masz w kontaktach osoby starsze lub mniej techniczne, którym możesz pomóc skonfigurować passkey — to jedna z najskuteczniejszych form ochrony przed oszustwem „na BLIK”
- Prowadzisz działalność lub sprzedaż przez WhatsApp Business i chcesz ograniczyć ryzyko przejęcia konta firmowego
Nie, jeśli:
- Masz już skonfigurowany passkey i nie widzisz potrzeby dodawania kolejnego, bo korzystasz tylko z jednego urządzenia — wtedy nowa funkcja niczego w praktyce nie zmienia
- Liczysz, że samo hasło zamiast PIN-u rozwiąże problem phishingu — potraktuj to jako jeden z elementów ochrony, nie jako gotowe rozwiązanie
Warto w najbliższych miesiącach obserwować, czy Meta zdecyduje się na bardziej agresywną komunikację tej zmiany w aplikacji — na przykład wymuszony ekran przy pierwszym uruchomieniu — bo bez tego funkcja ryzykuje pozostać martwym ustawieniem, o którym wie garstka technicznie zorientowanych użytkowników, podczas gdy statystyki CERT Polska pokazują, że problem dotyczy praktycznie każdego, kto ma w Polsce konto na komunikatorze.
Źródła:
- TechCrunch — WhatsApp tightens account security with stronger two-step verification and more (25 sierpnia 2026)
- CERT Polska / NASK — raport roczny za 2025 rok (8 kwietnia 2026)
- Gemius / Mediapanel — wyniki badania komunikatorów w Polsce
- Wirtualnemedia.pl — zestawienie popularności komunikatorów w Polsce
- Antyweb.pl — analiza mechanizmu przejęcia konta WhatsApp
- Policja Wołomin / CERT Orange Polska — ostrzeżenia dot. oszustw internetowych 2026
0 komentarzy
Bądź pierwszy, dodaj komentarz!