WhatsApp troca PIN por senha — e ela não expulsa quem já invadiu a conta

Em 25 de agosto de 2026, a Meta anunciou que o WhatsApp está trocando o PIN de seis dígitos da verificação em duas etapas por uma senha mais longa, com letras, números e caracteres especiais. Segundo o anúncio oficial da Meta, a nova credencial reforça a proteção mesmo quando outra pessoa consegue o código de uso único da conta.

A mudança anunciada em 25 de agosto será disponibilizada gradualmente, mas tem uma limitação decisiva: criar ou alterar a senha não encerra um acesso já obtido. As orientações de segurança do WhatsApp dizem que esses recursos não recuperam o acesso perdido nem removem alguém que já esteja usando a conta; nesse caso, é necessário recuperá-la primeiro.

O que muda na verificação em duas etapas

A senha assume a função que até agora cabia ao PIN de seis dígitos. Ela continua sendo uma segunda barreira: não substitui o código temporário usado para confirmar o número ao registrar a conta, mas dificulta que alguém conclua esse registro apenas com o código obtido por fraude, engenharia social ou acesso indevido ao número.

A diferença prática está no espaço de combinações. Um PIN contém apenas seis algarismos; a nova credencial pode ser mais longa e combinar diferentes tipos de caracteres. Isso torna sequências óbvias menos úteis para um invasor, embora a proteção ainda dependa de uma senha que não seja previsível nem reutilizada.

A Meta não apresentou a novidade como uma senha exigida toda vez que o aplicativo é aberto. Trata-se especificamente da credencial da verificação em duas etapas, acionada nos fluxos de autenticação da conta. O bloqueio local do WhatsApp e as passkeys continuam sendo recursos separados.

Senha, código, passkey e bloqueio não fazem o mesmo trabalho

Os mecanismos de segurança do WhatsApp aparecem em etapas diferentes. Confundi-los pode levar à falsa impressão de que ativar uma camada protege automaticamente todas as demais.

• Código de uso único: confirma o acesso ao número durante o registro da conta. É temporário e não deve ser compartilhado.
• Senha da verificação em duas etapas: substitui o antigo PIN numérico como barreira adicional para o registro e a autenticação da conta.
• Passkey ou chave de acesso: vincula a autenticação ao sistema de segurança do dispositivo, como impressão digital, reconhecimento facial ou código de bloqueio. O WhatsApp também passou a admitir mais de uma passkey por conta para quem usa Android e iOS.
• Bloqueio do aplicativo: restringe a abertura do WhatsApp em uma instalação que já está conectada, usando biometria em determinados aparelhos ou senha nas versões Web, Windows e Mac.
• Recuperação da conta: é o fluxo destinado a restabelecer o controle quando outra pessoa já obteve acesso. Não é substituído pela simples criação de uma senha nova.

Assim, a senha enfrenta principalmente uma tentativa de autenticação; a passkey comprova a identidade por meio de um dispositivo; e o bloqueio do aplicativo protege uma instalação existente. Nenhum desses mecanismos, isoladamente, demonstra que não há uma sessão desconhecida ativa.

Como ativar ou trocar a senha

A opção deve aparecer em Configurações > Conta > Verificação em duas etapas. Para uma conta que ainda exiba o PIN, o caminho é abrir esse menu e escolher a opção de alterar ou atualizar a credencial quando o novo formato estiver disponível.

1. Abra as Configurações do WhatsApp.
2. Entre em Conta e selecione Verificação em duas etapas.
3. Ative o recurso ou escolha a opção para alterar a credencial existente.
4. Crie a senha alfanumérica solicitada e confirme-a.
5. Confira o e-mail associado para não perder o caminho de redefinição.
6. Se o menu oferecer dispositivos confiáveis, revise a lista e remova os que você não reconhece.

A disponibilidade não é simultânea para todas as contas. A análise da Malwarebytes de 28 de agosto confirma a migração e orienta a atualizar a credencial quando a opção aparecer, o que caracteriza uma implementação progressiva.

Enquanto a senha alfanumérica não estiver disponível, o PIN atual continua sendo a segunda barreira daquela conta. A passkey precisa ser configurada separadamente em Configurações > Conta > Chaves de acesso, e o bloqueio do aplicativo também mantém um controle próprio.

Por que a senha nova não encerra uma invasão

A limitação é temporal: a senha dificulta uma autenticação futura, mas não invalida por si só uma sessão que já foi estabelecida. Uma pessoa que já esteja usando a conta pode continuar conectada sem ter de apresentar imediatamente a credencial recém-criada.

Também é preciso separar dispositivos vinculados de dispositivos confiáveis. Os vinculados, como sessões do WhatsApp Web ou dos aplicativos para computador, dão acesso às mensagens em vários aparelhos; os confiáveis servem ao fluxo de verificação em duas etapas. Retirar a confiança de um aparelho, portanto, não equivale necessariamente a desconectar uma sessão vinculada.

Se o titular ainda controla a conta e encontra uma sessão desconhecida na área de dispositivos vinculados, precisa encerrá-la nessa lista. Se perdeu o controle do número dentro do WhatsApp, deve usar o procedimento de recuperação oferecido pelo serviço antes de configurar novas camadas de proteção. Só depois faz sentido revisar a senha, o e-mail, as passkeys e os aparelhos autorizados.

O quadro confirmado é, portanto, mais restrito do que a palavra “senha” pode sugerir. O WhatsApp anunciou uma credencial mais forte para a verificação em duas etapas e iniciou uma liberação gradual, sem publicar no anúncio um cronograma detalhado por país. A novidade reduz a fragilidade do PIN numérico, mas a remoção de um invasor continua dependendo da recuperação da conta e da revisão dos acessos existentes.

Leia também:

• Volta ao escritório: novo método troca catracas por resultados
• Patreon troca o foco do algoritmo e abre espaço para criadores menores
• Aprender prompt não basta: quatro habilidades para trabalhar com agentes de IA