WhatsApp transforme le code PIN à six chiffres de son compte en mot de passe

WhatsApp a annoncé trois modifications concernant la sécurité des comptes le 25 août. Celle que la plupart des utilisateurs remarqueront se trouve dans un menu qu’ils ont rempli une seule fois et qu’ils n’ont plus jamais consulté depuis : le code PIN à six chiffres associé à la vérification en deux étapes. Celui-ci est en train de devenir un mot de passe.

Six chiffres peuvent être devinés, huit caractères le sont moins

La vérification en deux étapes est le niveau de protection qui s'active lorsque quelqu’un d’autre met la main sur votre code SMS à usage unique. Jusqu’à présent, il s’agissait d’un code PIN à six chiffres. Le blog officiel de WhatsApp se montre inhabituellement direct quant à la façon dont cela fonctionnait dans la pratique : « Si vous utilisiez 123456, c’est le moment idéal pour changer de code. »

Elle est désormais remplacée par un mot de passe. La capture d’écran figurant dans l’annonce de WhatsApp précise les règles : au moins huit caractères, au moins une lettre, au moins un chiffre. Les caractères spéciaux sont autorisés mais non obligatoires. Ce n’est pas un critère très exigeant. Comparé à six chiffres, cela représente tout de même un ordre de grandeur différent.

Cette protection vise une attaque spécifique. Toute personne qui s’empare de votre numéro de téléphone, par le biais d’un échange de carte SIM ou d’un ancien numéro cédé à quelqu’un d’autre, reçoit également le code à usage unique. Sans ce deuxième obstacle, le compte est perdu sur-le-champ.

Plus d’une clé d’accès, pour les utilisateurs d’Android et d’iPhone

WhatsApp indique que plus d’un milliard de personnes ont configuré une clé d’accès. Une clé d’accès remplace les codes et les codes PIN par une empreinte digitale, Face ID ou le verrouillage de l’écran. La nouveauté réside dans le fait qu’un compte peut en comporter plusieurs. Auparavant, toute personne utilisant à la fois un téléphone Android et un iPhone devait choisir entre les deux. Le paramètre se trouve dans « Paramètres », « Compte », « Clés d’accès ».

Ce sont les clés d’accès qui évoluent le plus. Un mot de passe peut faire l’objet d’une tentative d’hameçonnage, tout comme un code SMS. La partie privée d’une clé d’accès ne quitte jamais l’appareil, ce qui explique pourquoi les techniques d’hameçonnage classiques ne mènent à rien dans ce cas. Cela ne comble toutefois pas toutes les failles : toute personne qui détourne une session à laquelle vous êtes déjà connecté n’a besoin ni d’un mot de passe ni d’un deuxième facteur d’authentification.

Android indique d’où provient un appel inconnu

Le troisième changement concerne uniquement Android. Lorsqu’un numéro ne figurant pas dans vos contacts vous appelle, WhatsApp ajoute désormais des informations contextuelles : le pays d’origine du numéro et si vous faites partie des mêmes groupes. L’image d’exemple figurant dans l’annonce montre un numéro de portable allemand accompagné de la mention « ne figure pas dans vos contacts » et « vous faites tous les deux partie de 2 groupes ».

Cette fonctionnalité vise à lutter contre les appels frauduleux qui jouent sur l’urgence. WhatsApp le dit clairement : « Les escrocs misent sur l’urgence, alors prenez le temps de consulter ces informations supplémentaires avant de décrocher. » Il s’agit là d’un contexte, et non d’une détection. Vérifier le contenu réel d’un message relève d’un test distinct, qui ne concerne d’ailleurs que les inconnus.

Que faire de cette fonctionnalité ?

Ces trois fonctionnalités ne seront pas déployées simultanément. WhatsApp les décrit dans son propre article comme des éléments sur lesquels l’application « travaille ». Si l’option de mot de passe n’apparaît pas encore dans votre application aujourd’hui, cela ne pose aucun problème.

Une fois qu’elle sera disponible, voici l’ordre recommandé : configurez d’abord la clé d’accès, puis remplacez la vérification en deux étapes par un mot de passe. Et choisissez-en un que vous pourrez réellement retrouver. WhatsApp ne vous le demande que rarement, généralement lorsque vous vous connectez sur un nouvel appareil, ce qui correspond précisément au moment où l’ancien risque d’être hors de portée. Les autres solutions utiles en cas de perte d’accès font l’objet d’un article distinct.