WhatsApp کا چھ ہندسوں والا PIN ختم؛ نیا password کیوں اہم ہے

WhatsApp نے 25 اگست 2026 کو account security کی تین تبدیلیاں متعارف کرانے کا اعلان کیا: چھ ہندسوں کے two-step verification PIN کو طویل password سے بدلنا، ایک account میں متعدد passkeys کی گنجائش دینا اور Android پر نامعلوم caller کے بارے میں اضافی معلومات دکھانا۔ WhatsApp کے 25 اگست کے اعلان میں تصدیق کی گئی ہے کہ نیا password حروف، اعداد اور special characters پر مشتمل ہو سکتا ہے، جس کا مقصد اندازہ لگانا مشکل بنانا ہے۔

یہ سہولتیں تمام پاکستانی accounts پر بیک وقت ظاہر نہیں ہوں گی۔ Android Authority کی rollout رپورٹ کے مطابق password-based two-step verification Android اور iOS دونوں کے لیے ہے، لیکن اجرا مرحلہ وار ہو رہا ہے؛ نامعلوم caller کا نیا context فی الحال Android تک محدود ہے۔

مرحلہ وار rollout میں ابھی کیا بدلے گا

یہ محض آزمائشی تصور نہیں رہا، مگر کسی account پر پرانا PIN نظر آنے کا مطلب یہ ہے کہ نئی ترتیب ابھی وہاں نہیں پہنچی۔ WhatsApp نے پاکستان کے لیے الگ تاریخ یا ملک بھر میں rollout مکمل ہونے کا شیڈول جاری نہیں کیا۔

تازہ دستیاب app version نصب کرنے کے بعد Settings > Account > Two-step verification کھولیں۔ اگر password بنانے یا موجودہ PIN کو password میں بدلنے کا اختیار موجود ہو تو اسی سرکاری setting سے منتقلی کریں؛ اگر صرف چھ ہندسوں والا PIN دکھائی دے تو اسے فعال رہنے دیں اور rollout کا انتظار کریں۔ کسی پیغام، ویب صفحے یا غیر سرکاری APK میں دیا گیا “فوری upgrade” راستہ اس عمل کا حصہ نہیں ہے۔

دو مختلف چھ ہندسوں کے codes کو خلط ملط نہیں کرنا چاہیے۔ SMS یا call سے آنے والا registration code عارضی طور پر phone number کی تصدیق کرتا ہے، جبکہ موجودہ two-step PIN یا نیا password مستقل اضافی راز ہے۔ اسی لیے password اہم ہے: اگر کسی حملہ آور کو عارضی registration code مل بھی جائے تو اسے account منتقل کرنے کے لیے یہ دوسرا راز بھی درکار ہوگا۔

نیا password پرانے PIN سے کیوں مضبوط ہے

پرانا two-step طریقہ صرف چھ اعداد تک محدود تھا؛ نیا طریقہ نسبتاً طویل alphanumeric password اور special characters قبول کرتا ہے۔ اس سے ممکنہ combinations بڑھتے اور عام عددی ترتیب کا اندازہ لگانا مشکل ہوتا ہے، لیکن فائدہ تبھی برقرار رہتا ہے جب password منفرد ہو۔

ایسا password منتخب کریں جو phone number، تاریخ پیدائش، نام یا “123456” جیسی ترتیب پر مبنی نہ ہو اور کسی دوسرے account پر استعمال نہ کیا گیا ہو۔ اسے معتبر password manager میں محفوظ کیا جا سکتا ہے؛ WhatsApp chat، غیر محفوظ note یا کسی دوسرے شخص کو بھیجے گئے پیغام میں رکھنا اس اضافی حفاظتی تہہ کو کمزور کر دیتا ہے۔

یہ password روزانہ WhatsApp کھولنے والے phone screen lock کا متبادل نہیں ہے۔ Screen lock device تک مقامی رسائی روکتا ہے، جبکہ two-step password نئے registration یا account takeover کے مرحلے میں کام آتا ہے۔ اگر recovery email کا اختیار دکھائی دے تو ایسا email درج کریں جس تک مستقل اور محفوظ رسائی موجود ہو۔

متعدد passkeys کا الگ کردار

Passkey، two-step password کا دوسرا نام نہیں بلکہ device-based login credential ہے۔ WhatsApp میں دوبارہ داخل ہوتے وقت اسے fingerprint، Face ID یا device screen-lock code کے ذریعے منظور کیا جا سکتا ہے، اس لیے نقل کیے جانے والے code کو یاد رکھنے یا کسی کو بتانے کی ضرورت کم ہوتی ہے۔

نئی تبدیلی کے بعد ایک WhatsApp account میں ایک سے زیادہ passkeys شامل کی جا سکتی ہیں۔ TechCrunch کی آزاد رپورٹ کے مطابق یہ گنجائش Android اور iOS دونوں استعمال کرنے والے شخص کو ہر platform کے لیے passkey رکھنے دیتی ہے اور remote phishing کے مقابلے میں login کو مضبوط کرتی ہے۔

سرکاری راستہ Settings > Account > Passkeys ہے۔ پہلے بنیادی phone پر passkey بنائیں اور اضافی passkey صرف ایسے supported device پر شامل کریں جو آپ کے قبضے میں ہو اور مضبوط screen lock سے محفوظ ہو۔ Passkey والے device کا unlock طریقہ کمزور ہو تو credential کی مقامی منظوری بھی اسی کمزور حفاظت پر منحصر رہے گی۔

Passkey کو chat backup کی recovery نہ سمجھیں۔ Passkey account login کی شناخت، two-step password registration کی اضافی رکاوٹ اور encrypted backup اپنی الگ recovery setting سنبھالتے ہیں۔ Phone بدلنے سے پہلے یہ دیکھنا ضروری ہے کہ دوسرے قابلِ اعتماد device پر passkey موجود ہے اور backup کے لیے درکار الگ credential بھی دستیاب ہے۔

Android پر نامعلوم call کا نیا context

Android پر contacts میں محفوظ نہ ہونے والے WhatsApp caller کے لیے incoming-call screen یہ دکھا سکتی ہے کہ number کسی دوسرے ملک سے ہے اور caller کے ساتھ کوئی group مشترک ہے یا نہیں۔ iOS کے لیے اسی caller-context feature کی دستیابی کا اعلان نہیں کیا گیا۔

یہ معلومات شناخت کا ثبوت نہیں بلکہ call اٹھانے سے پہلے فیصلہ کرنے کا context ہیں۔ پاکستانی صارف کو تین سوال الگ الگ دیکھنے چاہییں:

• کیا دکھایا گیا ملک caller کے دعوے یا متوقع رابطے سے مطابقت رکھتا ہے؟ عدم مطابقت خطرے کا اشارہ ہو سکتی ہے، مگر غیر ملکی number بذاتِ خود fraud ثابت نہیں کرتا۔
• کیا مشترک group واقعی ذاتی یا کاروباری تعلق واضح کرتا ہے؟ بڑے community group کی مشترک رکنیت کسی فرد کی شناخت کی ضمانت نہیں ہے۔
• کیا caller فوراً OTP، two-step password، passkey approval، device-linking code یا رقم مانگ رہا ہے؟ ایسی درخواست پر call روک کر پہلے سے محفوظ number یا معلوم ذریعے سے الگ تصدیق کریں۔

Caller context account takeover کو خودکار طور پر block نہیں کرتا۔ اس کا فائدہ یہ ہے کہ صارف urgency میں call قبول کرنے یا خفیہ معلومات دینے سے پہلے چند قابلِ مشاہدہ اشارے دیکھ سکتا ہے۔

پاکستانی صارف کے لیے درست security ترتیب

1. WhatsApp کو Play Store یا App Store سے تازہ دستیاب version پر update کریں۔
2. Settings > Account > Two-step verification میں password کا اختیار ملے تو منفرد password بنائیں؛ اختیار نہ ملے تو موجودہ PIN بند نہ کریں۔
3. Settings > Account > Passkeys میں بنیادی device کی passkey بنائیں اور صرف اپنے محفوظ اضافی devices پر دوسری passkey شامل کریں۔
4. SMS یا call سے آنے والا registration code، two-step password اور passkey approval کسی support agent، group admin یا caller کو نہ دیں۔
5. Android پر نامعلوم call کی country اور مشترک groups کی معلومات کو clue سمجھیں، شناخت کی حتمی تصدیق نہیں۔

ابھی تصدیق شدہ صورت یہ ہے کہ چھ ہندسوں والا two-step PIN طویل password سے مرحلہ وار بدلا جا رہا ہے، متعدد passkeys Android اور iOS کے مشترک استعمال کو سہارا دیتی ہیں، اور نامعلوم caller کا اضافی context صرف Android کے لیے بتایا گیا ہے۔ پاکستان میں rollout کب مکمل ہوگا اور یہ caller context iOS تک پہنچے گا یا نہیں، اس بارے میں کوئی مخصوص تاریخ جاری نہیں کی گئی۔

یہ بھی پڑھیں:

• PaperCut zero-day زیرِ حملہ—Release 2 patch کیوں ضروری ہے؟