Двухэтапная проверка WhatsApp и безопасность бизнес-аккаунта

Утром клиенты пишут вам: «С этого номера просят срочно перевести деньги, это вы?» Значит, ваш аккаунт, возможно, взломан. Когда взламывают бизнес-номер, проблема не только в сообщениях: теряется доверие клиентов, переписка по заказам, группы и репутация. К счастью, большинство распространённых способов атак можно остановить привычками пользователя. Эта статья написана не для того, чтобы подсказать злоумышленникам, а для того, чтобы вы могли защититься: мы расскажем, как включить двухэтапную проверку, как распознать мошенничество с кодом подтверждения и в каком порядке действовать, если аккаунт всё же взломали.

Что такое двухэтапная проверка?

Когда вы регистрируете номер на новом устройстве, WhatsApp отправляет вам шестизначный код по SMS или звонком. Этот код сам по себе достаточен: если кто-то узнает его, он может перенести ваш аккаунт на свой телефон. Двухэтапная проверка добавляет второй барьер: при регистрации также запрашивается шестизначный PIN-код, который задаёте вы. Даже если злоумышленник получит SMS-код, он не сможет войти в аккаунт, не зная PIN-кода.

Эта функция даёт защиту, но не абсолютную гарантию. Если выбрать легко угадываемый PIN или сообщить его кому-то, защита теряет смысл.

Как включить?

1. В WhatsApp откройте путь Настройки > Аккаунт > Двухэтапная проверка. В приложении Business путь похожий.
2. Нажмите Включить.
3. Придумайте шестизначный PIN. Не выбирайте дату рождения, последние цифры номера телефона или комбинации вроде 123456.
4. Подтвердите PIN.
5. Добавьте адрес электронной почты для восстановления. Это адрес, на который придёт ссылка для сброса, если вы забудете PIN; он должен быть тем, к которому у вас есть доступ.
6. Сохраните и подтвердите e-mail.

Время от времени WhatsApp спрашивает, помните ли вы PIN. Вместо того чтобы быстро пропускать эти предупреждения, сохраните PIN в менеджере паролей. Если вы забудете PIN без адреса для восстановления, сброс аккаунта может занять семь дней.

Как работает мошенничество с кодом подтверждения?

Мошенник пытается зарегистрировать ваш номер на новом телефоне; WhatsApp отправляет вам SMS с кодом. Затем он придумывает историю и убеждает вас назвать ему код. Чтобы распознать такую схему, достаточно знать самые частые предлоги.

Правило простое: шестизначный код из WhatsApp не сообщайте никому. Даже если это знакомый человек. Позвоните ему по другому каналу и уточните.

Код пришёл, а вы его не запрашивали

Если на ваш телефон приходит SMS с кодом подтверждения WhatsApp, значит, кто-то пытается зарегистрировать ваш номер. Не сообщайте код. Если двухэтапная проверка включена, злоумышленник не сможет продолжить, так как не знает PIN. Несколько таких кодов подряд — повод проверить PIN.

Мошенничество с подключёнными устройствами

Мошенники могут использовать не только код, но и механизм связанных устройств. Они просят вас отсканировать QR-код или ввести отправленный ими код привязки. Например, под предлогом «страницы акции» или «подтверждения оплаты». Сделав это, вы подключаете свой аккаунт к их устройству, и они видят ваши чаты.

• Сканируйте QR-код только в ссылке, которую открыли сами: например, web.whatsapp.com в браузере вашего компьютера или в вашей собственной панели.
• Не сканируйте QR-код с изображения, присланного кем-то.
• Не доверяйте человеку, который просит ввести на телефоне «код привязки».
• Регулярно проверяйте список Связанные устройства в телефоне и удаляйте незнакомые сеансы.

Правильное использование QR-кода описано в руководстве по привязке QR-кода.

Дополнительные меры для бизнес-аккаунта

• Блокировка экрана телефона: разблокируйте по отпечатку пальца, лицу или PIN-коду. На рабочем телефоне, которым пользуются несколько человек, поставьте отдельную блокировку приложения WhatsApp.
• SIM-карта: настройте у оператора дополнительную проверку для запросов на копирование SIM-карты и перенос номера. Не оставляйте PIN-код SIM-карты стандартным.
• Голосовая почта: некоторые атаки перенаправляют код подтверждения, пришедший звонком, на голосовую почту. Смените PIN голосовой почты.
• Официальное приложение: устанавливайте WhatsApp только из официальных магазинов. Изменённые версии создают и риск ограничения аккаунта, и уязвимости безопасности.
• Порядок в команде: зафиксируйте, кто пользуется аккаунтом. Уволенному сотруднику доступ отключите в тот же день и при необходимости смените PIN.
• Подозрительные ссылки: не переходите по ссылкам из сообщений вида «ваш аккаунт будет закрыт».

Если аккаунт взломан

1. Сохраняйте спокойствие и заново подтвердите номер на своём телефоне. Установите WhatsApp и введите номер, затем введите полученный код. Это выбивает злоумышленника из сеанса.
2. Если запросят PIN двухэтапной проверки, введите его. Если злоумышленник установил PIN, следуйте путям сброса в приложении; может понадобиться семидневное ожидание.
3. Сразу включите двухэтапную проверку или смените PIN.
4. В списке Связанные устройства удалите сеансы, которые вы не узнаёте.
5. Сообщите родным и клиентам по другому каналу: «Мой аккаунт был взломан, не отвечайте на просьбы о переводе денег или ссылки из моих сообщений».
6. При необходимости обратитесь в службу поддержки WhatsApp через приложение или страницу поддержки и сохраните переписку с ними.
7. Смените пароли других аккаунтов на телефоне.

Никто не может гарантировать, что эти шаги всегда вернут аккаунт, но быстрые действия значительно повышают шансы.

Для пользователей WapFlow

Аккаунт, который вы подключили к WapFlow, отображается как сеанс в списке связанных устройств вашего телефона. Поэтому обратите внимание на следующее:

• Подключайте аккаунт только в собственной панели и только по своей инициативе. Не отправляйте никому изображение QR-кода или код привязки.
• Для панели выберите надёжный пароль, который не используете в других сервисах.
• Если вы даёте доступ к панели команде, определите, кто с каким аккаунтом работает. Для схемы с несколькими аккаунтами смотрите статью об управлении несколькими аккаунтами.
• Если в списке связанных устройств на телефоне вы видите незнакомый сеанс, удалите его.

Ограничение аккаунта из-за сообщений без согласия — отдельная тема. Причины и шаги по обжалованию описаны в статье о блокировке аккаунта.

Одно правило для команды

Обучение безопасности не требует длинных презентаций. Достаточно одного правила, чтобы предотвратить большую часть атак. Его можно закрепить в групповом чате команды:

Шестизначный код из WhatsApp, QR-код или код привязки мы никому не сообщаем. Если кто-то попросит, кем бы он ни был, сначала сообщаем руководству.

Также с каждым новым сотрудником проверьте вместе, что двухэтапная проверка включена, а при уходе сотрудника письменно подтвердите, что сеансы на рабочем телефоне закрыты. В маленьких компаниях эти задачи обычно выполняет сам владелец; по мере роста команды назначьте одного ответственного, чтобы никто не думал «этим кто-то другой займётся».

Сообщите и клиентам. Пометка в сообщениях или в описании профиля вроде «Мы никогда не запрашиваем код подтверждения или платёжные данные» помогает им распознавать мошенничество и сохраняет доверие к настоящим сообщениям.

Контрольный список безопасности

Часто задаваемые вопросы

Я забыл PIN двухэтапной проверки, что делать?

Если вы добавили адрес для восстановления, можно получить ссылку для сброса. Если адреса нет, после определённого срока ожидания регистрация возможна без PIN; срок устанавливает WhatsApp.

Нужно ли менять PIN?

Меняйте, если подозреваете, что его узнал кто-то другой, или когда сотрудник, знавший PIN, уходит из компании. Регулярная смена не обязательна.

Как понять, что кто-то читает мой аккаунт?

Проверьте, нет ли в списке связанных устройств незнакомого сеанса, и не отмечаются ли ваши сообщения как «прочитанные», когда вы их не открывали.

Двухэтапная проверка отдельно для Business и обычного аккаунта?

Да. Каждое приложение привязано к своему номеру, и настройку нужно включать отдельно. Если пользуетесь обоими приложениями, задайте PIN в каждом, но не делайте их одинаковыми.

Двухэтапная проверка защищает от ограничения аккаунта?

Нет. Защита от взлома и соблюдение условий использования — разные вопросы.

Когда безопасность будет в порядке, вы можете спокойно наладить переписку с клиентами. Подключите аккаунт к WapFlow в собственной панели и управляйте рассылками, контактами и автоответами в одном месте.