Se o WhatsApp virou parte do seu atendimento, ele deixou de ser apenas um aplicativo de conversa. Ali podem estar clientes, pedidos, arquivos, cobranças e decisões que fazem o trabalho continuar. Por isso, uma mudança de segurança no aplicativo merece uma pergunta prática: há alguma configuração da sua conta que deveria ser revisada agora?

Em 25 de agosto de 2026, a Meta anunciou mudanças em três pontos: passou a permitir mais de uma chave de acesso em contas que usam dispositivos Android e iOS, informou que a verificação em duas etapas está sendo fortalecida para aceitar credenciais alfanuméricas mais longas com caracteres especiais e adicionou, no Android, mais contexto para chamadas de números desconhecidos.

Isso não transforma o WhatsApp em um ambiente sem risco. Golpes continuam dependendo muito mais de urgência, confiança e engenharia social do que de uma falha técnica sofisticada. A novidade útil é outra: há mais camadas para reduzir a chance de uma conta ser tomada e mais informação para decidir antes de responder a um contato estranho.

O que mudou na segurança do WhatsApp

A primeira mudança envolve as chaves de acesso, também chamadas de passkeys. Em vez de depender apenas de senha, código recebido ou PIN, a chave de acesso permite confirmar a identidade usando o mecanismo de desbloqueio do próprio aparelho, como biometria, reconhecimento facial ou código do dispositivo.

Segundo a Meta, mais de um bilhão de pessoas já configuraram uma chave de acesso no WhatsApp. A novidade anunciada em agosto é a possibilidade de adicionar mais de uma chave quando a pessoa usa dispositivos Android e iOS.

A segunda mudança é a verificação em duas etapas. O WhatsApp historicamente usou um PIN de seis dígitos como camada adicional. A Meta informou que o recurso está sendo atualizado para permitir credenciais alfanuméricas mais longas e com caracteres especiais.

A terceira mudança aparece nas chamadas desconhecidas no Android. O aplicativo pode exibir informações adicionais antes de você atender, como o fato de o número ser de outro país ou de vocês participarem de grupos em comum.

Os recursos podem chegar em momentos diferentes conforme sistema, versão do aplicativo e liberação da conta. Por isso, não trate um anúncio como prova de que todas as opções já aparecem no seu aparelho. Abra as configurações e confira o que está efetivamente disponível.

Chave de acesso não é a mesma coisa que verificação em duas etapas

As duas proteções trabalham em pontos diferentes.

A chave de acesso ajuda a provar que quem está tentando entrar é você usando uma credencial vinculada ao dispositivo. A verificação em duas etapas adiciona uma barreira extra contra a tomada da conta.

Na prática, não é uma escolha entre uma ou outra. Se ambas estiverem disponíveis para sua conta, o raciocínio mais seguro é pensar em camadas complementares.

Isso também evita um erro comum: ativar um recurso novo e imaginar que todo o restante deixou de importar.

Uma conta pode ter uma chave de acesso e continuar vulnerável porque:

  • o aparelho principal está sem bloqueio adequado;
  • o e-mail de recuperação está desprotegido;
  • existem dispositivos vinculados que ninguém revisa;
  • a pessoa entrega códigos ou confirmações a um golpista;
  • ninguém sabe o que fazer se o celular for perdido ou roubado.

Se você ainda não organizou as camadas básicas, veja também como usar autenticação em dois fatores sem perder acesso.

Faça uma revisão da conta usada pelo negócio

Em vez de procurar uma “configuração perfeita”, faça uma revisão curta e objetiva. O objetivo é saber o que está ativo, quem controla a recuperação e quais dispositivos continuam autorizados.

1. Abra as configurações de conta

No WhatsApp, procure Configurações > Conta e verifique se a opção de chaves de acesso está disponível.

Se estiver, confira quais chaves já existem. Não crie credenciais extras apenas porque o aplicativo permite. Cada uma precisa corresponder a um dispositivo que você realmente controla.

2. Revise a verificação em duas etapas

Veja qual forma de verificação a sua versão do aplicativo oferece. Se ainda houver um PIN simples ou previsível, substitua por algo que não possa ser adivinhado com informações sobre você ou o negócio.

Não use data de aniversário, sequência numérica, final de telefone ou informação exposta nas redes sociais.

3. Confira os dispositivos conectados

Abra a área de dispositivos vinculados e responda uma pergunta simples para cada item: eu reconheço este aparelho e ainda preciso dele?

Notebook antigo, navegador usado uma única vez, computador de funcionário que saiu ou máquina de assistência técnica não devem permanecer conectados por esquecimento.

Se houver algo que você não reconhece, remova o acesso e investigue a conta antes de seguir trabalhando normalmente.

4. Confira a recuperação

Segurança não é apenas impedir entrada. É conseguir recuperar o controle quando alguma coisa dá errado.

Confirme:

  • qual número está associado à conta;
  • qual e-mail de recuperação está cadastrado, quando aplicável;
  • se esse e-mail também usa proteção forte;
  • quem no negócio sabe qual é o procedimento se o aparelho principal for perdido.

Um e-mail de recuperação abandonado pode virar o ponto mais fraco de uma conta que parece bem protegida.

5. Atualize o aplicativo e o sistema

Recursos de segurança dependem da versão do aplicativo e do sistema operacional. Mantenha o WhatsApp e o aparelho atualizados por canais oficiais.

Evite instalar versões modificadas ou pacotes enviados por terceiros para “liberar recurso antes”.

Mais contexto em chamadas ajuda, mas não prova identidade

A informação adicional em chamadas desconhecidas pode ser útil. Saber que um número vem de outro país ou que existe um grupo em comum muda a forma como você interpreta aquela ligação.

Mas contexto não é autenticação.

Um número pode estar no mesmo grupo e ainda assim ser controlado por alguém mal-intencionado. Uma ligação nacional pode ser fraudulenta. Uma pessoa pode conhecer nomes, clientes, fornecedores e detalhes públicos do seu negócio sem ser quem diz ser.

Use a informação como um sinal para decidir se vale atender. Não como prova suficiente para:

  • fazer Pix;
  • enviar documento;
  • redefinir senha;
  • compartilhar código;
  • instalar aplicativo;
  • abrir link;
  • liberar acesso.

Quando houver pedido urgente ou incomum, confirme por um canal que você já conhecia antes do contato. Esse mesmo princípio aparece em golpes que usam informações pessoais para parecer legítimos. Veja como confirmar um contato que já sabe seus dados.

O checklist de 10 minutos

Para uma conta comercial pequena, a revisão pode ser registrada assim:

Ponto Pergunta Ação se a resposta for “não sei”
Chave de acesso Existe e reconheço as chaves cadastradas? Abrir Conta > Chaves de acesso e conferir
Verificação adicional Está ativa e não usa segredo previsível? Atualizar a configuração disponível
Dispositivos Reconheço todos os aparelhos vinculados? Remover os desconhecidos ou antigos
Recuperação Sei como recuperar a conta? Atualizar os meios de recuperação
E-mail O e-mail de recuperação também está protegido? Ativar proteção forte nele
Aparelho O celular usa bloqueio adequado? Configurar bloqueio e biometria quando disponível
Atualizações Aplicativo e sistema estão atualizados? Atualizar por loja e canal oficiais
Procedimento Sei o que fazer se perder o celular? Registrar uma sequência de resposta
Equipe Quem atende sabe que nunca deve compartilhar códigos? Definir regra simples e repetir no treinamento
Revisão Existe uma data para conferir tudo de novo? Agendar revisão trimestral

O valor dessa tabela não está em preencher dez “sim”. Está em transformar segurança em uma rotina que possa ser repetida depois.

Se o celular for perdido, a preparação aparece

Uma conta bem configurada mostra seu valor quando o aparelho desaparece.

Nesse momento, você precisa saber:

  1. como bloquear ou localizar o dispositivo;
  2. como proteger a linha telefônica;
  3. como recuperar ou registrar novamente o WhatsApp;
  4. quais sessões ou dispositivos devem ser removidos;
  5. quais clientes ou pessoas precisam ser avisados se houver suspeita de uso indevido.

Se esse cenário ainda não está organizado, use o roteiro de celular roubado e WhatsApp do negócio: o que fazer nas primeiras horas.

O que os novos recursos não resolvem

Nenhuma dessas mudanças impede alguém de convencer você a fazer voluntariamente uma ação perigosa.

A pessoa ainda pode receber uma mensagem dizendo que o cliente trocou de número. Pode atender alguém que conhece o nome do fornecedor. Pode abrir um arquivo enviado num momento de pressa. Pode confirmar uma solicitação de pagamento apenas porque a história parece coerente.

Por isso, a melhor leitura das mudanças de agosto é esta:

o WhatsApp ganhou novas ferramentas para proteger a conta, mas o negócio ainda precisa de uma rotina de confirmação.

A parte técnica reduz algumas portas de entrada. A rotina reduz a chance de você abrir a porta por engano.

Uma regra simples para manter

Depois de revisar tudo, deixe uma regra visível para quem usa o canal comercial:

código nunca é compartilhado, dispositivo antigo não fica conectado e pedido urgente não é confirmado apenas dentro da conversa que trouxe a urgência.

Isso é mais útil do que tentar memorizar todos os golpes possíveis.

Fontes consultadas

Vídeo relacionado

WhatsApp rolls out Passkey feature for users: Things to know | World DNA | WION

Fonte:WION