WhatsApp jubila el PIN de seis dígitos: tu segunda barrera pasa a ser una contraseña
La verificación en dos pasos deja de ser un número de seis cifras y admite letras y símbolos. Además llegan varias passkeys por cuenta y datos del que llama cuando no lo tienes agendado.
El robo de cuentas de WhatsApp casi nunca empieza rompiendo nada: empieza con alguien que te escribe pidiéndote un código. Meta acaba de cambiar la cerradura que aguanta ese momento.
Qué ha pasado
WhatsApp anunció el martes tres cambios de seguridad. El principal afecta a la verificación en dos pasos, ese código extra que la aplicación te pide cuando registras tu número en un teléfono nuevo. Hasta ahora era un PIN de seis dígitos. A partir de ahora puede ser una contraseña completa: más larga, con letras, números y caracteres especiales.
El segundo cambio es para las passkeys o claves de acceso, el sistema que te deja entrar con la huella, la cara o el bloqueo de pantalla en lugar de teclear nada. WhatsApp las admite desde 2024, pero solo permitía una por cuenta. Ahora puedes tener varias a la vez, que es lo que hacía falta si usas un móvil y una tableta, o un Android y un iPhone. Se configuran en Ajustes > Cuenta > Claves de acceso.
El tercero es solo para Android, de momento: cuando te llame alguien que no tienes agendado, la aplicación mostrará contexto sobre quién es —si el número es de otro país, si compartís algún grupo— antes de que descuelgues.
Por qué seis dígitos se habían quedado cortos
La verificación en dos pasos existe justamente para el caso en que el atacante ya tiene tu código de un solo uso, el SMS de seis cifras que llega al registrar el número. Ese código se roba con una llamada y una excusa: "me equivoqué al escribir mi número, te llegó mi código, pásamelo". Si tienes activada la verificación en dos pasos, con eso no basta: hace falta además tu PIN.
El problema es que un PIN numérico de seis posiciones tiene un millón de combinaciones, y mucha gente lo rellena con una fecha. Una contraseña alfanumérica con símbolos multiplica el espacio de búsqueda y, sobre todo, deja de ser adivinable a partir de datos que cualquiera puede conocer. Es un cambio pequeño en la interfaz y grande en el resultado.
Meta afirma que más de mil millones de personas ya tienen configurada una passkey en su cuenta, la vía que la compañía recomienda por delante de contraseñas y códigos. La cifra la publican tanto GSMArena como Hipertextual citando a la empresa; no hay una verificación independiente.
Las llamadas: el frente que más creció
El aviso de llamada desconocida se suma a Scam Alert, el sistema que WhatsApp anunció hace unas semanas y que analiza los mensajes en el propio teléfono, sin subirlos a ningún servidor, buscando patrones de estafa. Sigue en fase de pruebas y admite compartir voluntariamente los últimos cinco mensajes recibidos para afinar el modelo.
El orden de las piezas dice bastante sobre dónde está hoy el fraude: primero fueron los mensajes con supuestas ofertas de trabajo, ahora son tandas de llamadas desde números internacionales.
Qué significa para ti
Si usas WhatsApp para vender, coordinar entregas o hablar con clientes, tu cuenta no es una cuenta de mensajería: es tu negocio. Perderla no significa perder conversaciones, significa que alguien se hace pasar por ti ante toda tu agenda.
Tres cosas que puedes hacer hoy, en menos de cinco minutos:
- Activa o actualiza la verificación en dos pasos y, en cuanto te lo ofrezca tu versión, cámbiala de PIN a contraseña. Que no sea una fecha.
- Añade una passkey en cada dispositivo desde el que uses la cuenta. Ahora puedes tener más de una.
- Ningún código que llegue a tu teléfono se comparte. Ninguno. Ni con un amigo, ni con "soporte técnico", ni con quien dice haberse equivocado de número.
Y si estás pensando en cambiar de teléfono, mira que el que compres tenga sensor de huella o desbloqueo facial decente: es lo que sostiene las passkeys. En el comparador de móviles puedes ver esa ficha antes de decidir.
¿Tienes activada la verificación en dos pasos en WhatsApp, o es de esas cosas que llevas meses dejando para mañana?
Fuentes
Sigue leyendo
WhatsApp prueba agentes de IA de otras empresas, y esos chats no van cifrados
La beta de Android 2.26.35.3 permite conectar hasta cinco asistentes externos. Los mensajes pasan por un servicio de Meta que puede leerlos: el cifrado de extremo a extremo no aplica ahí.
Tres puertas traseras de fábrica en routers chinos que se venden con otra marca encima
No son fallos de programación: vienen instaladas. VulnCheck las encontró en el firmware de ZBT, un fabricante cuyo hardware se vende bajo al menos diez marcas distintas en medio mundo.
Los agentes de IA instalaron paquetes que no existían dentro de empresas del Fortune 500
Un fichero pensado para que las IA lean tu web listaba órdenes tipo «pip install algo». Ese «algo» no estaba registrado en ningún sitio. Los investigadores lo registraron y se sentaron a esperar.
Meta pagará unos 18.000 millones y apagará Instagram a los adolescentes de madrugada
El acuerdo con casi todos los estados de EE. UU. trae dos horas de uso al día por defecto, avisos cada quince minutos y notificaciones silenciadas en horario escolar. Todo depende de saber quién es menor.