WhatsApp两步验证与商务账户安全
某个早晨，客户给您发消息问："这个号码说急需用钱，是你们吗？"这时您的账户很可能已被盗用。商务号码一旦被盗，问题不仅仅是消息：客户的信任、订单往来、已加入的群组以及您的信誉都会受到损失。幸运的是，大多数常见的攻击手段都可以通过良好的使用习惯来防范。本文的目的是保护您自己，而不是为攻击者提供方法。我们将介绍如何开启两步验证，如何识别验证码诈骗，以及账户被盗后应按什么顺序处理。
什么是两步验证？
当您在新设备上注册号码时，WhatsApp会发送一个六位数的短信或语音验证码。仅凭这个验证码就足够了，也就是说，只要有人获知验证码，就可以把您的账户迁移到他自己的手机上。两步验证则增加了第二道防线：注册时还需要输入您自己设定的六位PIN码。即使攻击者拿到了短信验证码，只要不知道PIN码，也无法登录您的账户。
这一功能提供了保护，但并非绝对的保障。如果PIN码设置得太容易猜，或者告诉了别人，保护作用就会失效。
如何开启？
- 在WhatsApp中依次进入设置 > 账户 > 两步验证。商务应用中的路径大致相同。
- 点击启用。
- 设置一个六位数的PIN码。请不要选择出生日期、手机号码的后几位，或123456这类连续数字。
- 再次输入以确认PIN码。
- 添加一个用于找回的电子邮箱。这是您忘记PIN码时接收重置链接的邮箱，因此必须是您能够访问的地址。
- 保存并验证邮箱。
WhatsApp会不时询问您是否还记得PIN码。不要匆忙跳过这些提示，而应将PIN码保存到密码管理器中。如果没有设置找回邮箱就忘记了PIN码，重置账户可能需要等待七天。
验证码诈骗是如何运作的？
骗子会尝试在一部新手机上注册您的号码，此时WhatsApp会向您发送短信验证码。随后，骗子会编造一个故事，诱使您把验证码告诉他。只要熟悉最常见的借口，您就能识别出来。
| 消息示例 | 实际情况 |
|---|---|
| "我不小心把验证码发到你这儿了，能转给我吗？" | 这个验证码其实是用来接管您账户的 |
| "您中奖了，请把验证码发给我们。" | 虚假抽奖；您发出验证码后，账户就被夺走了 |
| "快递配送需要，请告诉我收到的验证码。" | 冒充快递员的骗子 |
| "熟人"以同样的理由从他的账户发来请求 | 该熟人的账户很可能已经被盗 |
| "我们是WhatsApp客服，请验证您的验证码。" | WhatsApp绝不会向您索要验证码 |
规则很简单：绝不要把WhatsApp发来的六位验证码告诉任何人。即使对方是您认识的人也一样。请通过其他渠道给对方打电话核实。
您没有请求，却收到了验证码
如果您的手机收到了WhatsApp的验证码短信，说明有人正在尝试注册您的号码。不要分享验证码。如果已开启两步验证，由于骗子不知道PIN码，他无法继续操作。多次收到验证码是一种警示，请检查您的PIN码是否安全。
关联设备诈骗
骗子不仅可能利用验证码，还可能利用关联设备机制。他们会要求您扫描二维码，或输入他们发给您的配对码。例如，借口可能是"活动页面"或"付款验证"。一旦您照做，您的账户就会关联到他们的设备上，他们便能看到您的聊天内容。
- 只在您自己发起的连接中扫描二维码：例如您在自己电脑上打开的web.whatsapp.com，或您自己面板中的二维码。
- 不要扫描别人发来的图片中的二维码。
- 不要相信要求您在手机上输入"配对码"的人。
- 定期检查手机上的已关联的设备列表，移除您不认识的会话。
关于正确使用二维码的方法，请参阅二维码关联指南。
商务账户的额外防护措施
- 手机屏幕锁：使用指纹、面部识别或PIN码解锁。在共用的工作手机上，为WhatsApp再设置一道应用锁。
- SIM卡：请向运营商申请SIM卡复制和号码转移的额外验证。不要使用默认的SIM卡PIN码。
- 语音信箱：一些攻击会将来电的验证码转到语音信箱。请修改语音信箱的PIN码。
- 官方应用：只从官方商店安装WhatsApp。经过篡改的版本既有被限制的风险，也存在安全漏洞。
- 团队安排：书面记录哪些人使用该账户。员工离职时，当天就撤销其访问权限，必要时更换PIN码。
- 可疑链接：不要点击"您的账户即将被关闭"之类消息中的链接。
账户已经被盗怎么办？
- 保持冷静，在您自己的手机上重新验证号码。安装WhatsApp并输入号码，然后输入收到的验证码。这样会把攻击者踢出会话。
- 如果系统要求输入两步验证PIN码，请输入。如果攻击者已经设置了PIN码，请按应用中的重置途径操作，可能需要等待七天。
- 立即开启两步验证，或更换PIN码。
- 在已关联的设备列表中移除您不认识的会话。
- 通过其他渠道通知您的亲友和客户："我的账户曾被未经授权登录，请不要理会以我的名义发来的转账或链接请求。"
- 如有需要，请通过应用或支持页面联系WhatsApp客服，并保留相关记录。
- 同时更改手机上其他账户的密码。
没有人能保证这些步骤在任何情况下都能找回账户，但及时行动会大大提高成功的可能性。
使用WapFlow的用户须知
您连接到WapFlow的账户，会在手机的已关联设备列表中显示为一个会话。因此请注意以下事项：
- 只在您自己的面板中、由您本人发起连接。不要为了连接而把二维码图片或配对码发给任何人。
- 为面板账户设置一个强密码，并且不要在其他地方使用。
- 如果要为团队开通面板权限，请明确谁使用哪个账户。多账户管理方法请参阅多账户管理文章。
- 如果在手机的关联设备列表中看到您不认识的会话，请将其移除。
因发送过多未经许可的消息而导致账户受限，是另一个问题；其原因和申诉步骤，我们已在账户受限文章中详细说明。
给团队一句话的规则
安全培训不需要冗长的演示。只要教给员工一条规则，就能阻止大部分攻击。您可以把它置顶在团队群组中：
我们绝不把WhatsApp发来的六位验证码、二维码或配对码告诉任何人。如果有人索要，无论对方是谁，都先向管理层报告。
此外，在每位新员工入职时，一起确认两步验证已经开启；员工离职时，以书面形式确认工作手机上的会话已经关闭。小型商家通常由老板亲自处理这些事务；随着团队扩大，指定一位负责人，可以避免"大家都以为别人在管"的情况。
也请告知您的客户。在消息或个人资料简介中加上一句"我们绝不会索要验证码或付款信息"，有助于他们识别诈骗，并在面对假消息时维护您的信誉。
安全检查清单
| 项目 | 是否完成？ |
|---|---|
| 已开启两步验证，PIN码不易猜测 | ☐ |
| 找回邮箱为最新且可以访问 | ☐ |
| 已开启手机屏幕锁和应用锁 | ☐ |
| 本月已检查关联设备列表 | ☐ |
| 已向团队讲解不分享验证码的规则 | ☐ |
| SIM卡和语音信箱PIN码不是默认值 | ☐ |
常见问题解答
两步验证的PIN码忘了，该怎么办？
如果您添加过找回邮箱，可以收到重置链接。如果没有邮箱，等待一段时间后可以在不输入PIN码的情况下注册，该等待时间由WhatsApp设定。
需要更换PIN码吗？
当您怀疑别人可能已经知道PIN码，或有员工离职时，请更换。定期更换不是强制要求。
如何判断有人在查看我的账户？
如果关联设备列表中有您不认识的会话，或者您没有查看的消息却显示为"已读"，就需要检查。
商务账户和普通账户的两步验证是分开的吗？
是的。每个应用都绑定各自的号码，需要分别开启。如果两个应用都在使用，请为两者都设置PIN码，并且不要让两者的PIN码相同。
开启两步验证能防止账户被限制吗？
不能。安全保护与遵守使用条款是两个不同的问题。
加强安全之后，如果您希望更好地管理客户沟通，可以试用WapFlow。只需在您自己的面板中连接账户，即可在一个地方处理通讯录、营销活动和自动回复。
