WhatsApp نے چھ ہندسوں کا PIN بدل دیا—اکاؤنٹ اب کیسے محفوظ ہوگا؟

WhatsApp نے 25 اگست 2026 کو اکاؤنٹ سکیورٹی کی تین تبدیلیاں متعارف کرانے کا اعلان کیا: six-digit two-step verification PIN کی جگہ طویل password، ایک اکاؤنٹ کے لیے متعدد passkeys اور Android پر نامعلوم caller کے بارے میں اضافی معلومات۔ WhatsApp کے سرکاری اعلان میں password کو حروف، اعداد اور خصوصی علامات تک وسیع کرنے کی تصدیق کی گئی ہے۔

پاکستانی صارف کے لیے اہم بات یہ ہے کہ موجودہ چھ ہندسوں والا PIN خود بخود تبدیل ہونا ضروری نہیں۔ TechCrunch کی آزاد رپورٹ نئی سہولتوں کو launch ہونے والی updates قرار دیتی ہے، مگر پاکستان کے لیے الگ rollout تاریخ نہیں بتاتی؛ اس لیے دستیابی ہر اکاؤنٹ، platform اور app version میں مختلف ہو سکتی ہے۔

PIN، password اور passkey ایک ہی چیز نہیں

Two-step verification password فون نمبر دوبارہ WhatsApp پر رجسٹر کیے جانے کے وقت اضافی حفاظتی رکاوٹ ہے۔ اگر کسی حملہ آور کو SMS یا one-time code مل بھی جائے تو اسے اس دوسرے راز کی ضرورت پڑ سکتی ہے۔ پہلے یہ راز صرف چھ ہندسوں کا PIN تھا؛ نئی صورت میں اسے زیادہ طویل اور حروف، اعداد اور خصوصی علامات پر مشتمل رکھا جا سکے گا۔

Passkey الگ login credential ہے، two-step password کا دوسرا نام یا لازمی متبادل نہیں۔ یہ device یا اس کے credential manager میں محفوظ ہوتی ہے اور fingerprint، چہرے کی شناخت یا screen-lock code کے ذریعے کھل سکتی ہے۔ صارف کو نقل کرکے کسی login صفحے پر ڈالنے کے لیے روایتی password نہ ملنے کی وجہ سے passkey phishing کے خلاف بہتر مزاحمت دیتی ہے، لیکن device یا اس کا unlock طریقہ غیر محفوظ ہو تو خطرہ مکمل ختم نہیں ہوتا۔

نئی تبدیلی ایک WhatsApp اکاؤنٹ کے ساتھ ایک سے زیادہ passkeys رکھنے دیتی ہے۔ اس کا واضح استعمال اس وقت ہے جب کوئی شخص Android اور iOS دونوں استعمال کرتا ہو: ہر متعلقہ device کے لیے الگ passkey شامل کی جا سکتی ہے، جبکہ two-step verification اپنی الگ حفاظتی تہہ کے طور پر برقرار رہتی ہے۔

• Two-step password: دوبارہ رجسٹریشن کے وقت مانگا جانے والا اضافی راز، جسے منفرد اور خفیہ رکھنا ہوتا ہے۔
• Passkey: device یا credential manager سے وابستہ login credential، جو biometric یا screen lock سے کھلتی ہے۔
• Recovery email: بھولا ہوا two-step credential بحال کرنے کا رابطہ؛ یہ روزمرہ login key نہیں۔
• SMS یا one-time code: فون نمبر کی ابتدائی تصدیق؛ اسے کسی caller، chat یا ویب صفحے کو نہیں دینا چاہیے۔

نئی حفاظت فعال کرنے کا راستہ

Passkey شامل کرنے کے لیے WhatsApp میں Settings > Account > Passkeys کھولیں اور device کی ہدایات مکمل کریں۔ Android اور iOS دونوں استعمال کرنے کی صورت میں، اختیار دستیاب ہونے پر دوسرے device کی passkey بھی اسی اکاؤنٹ میں شامل کی جا سکتی ہے۔

Two-step verification کے لیے Settings > Account > Two-step verification دیکھیں۔ اگر ابھی چھ ہندسوں کا PIN ہی نظر آتا ہے تو password کا اختیار دستیاب ہونے تک وہی موجودہ ترتیب رہے گی؛ اختیار ملنے پر ایسا طویل اور منفرد password منتخب کریں جو کسی دوسرے اکاؤنٹ پر استعمال نہ ہو۔

Malwarebytes کی عملی وضاحت کے مطابق passkey بنانا اور پرانے PIN کو نئے password format پر منتقل کرنا صارف کے اقدامات ہیں، جبکہ caller context supported Android devices پر خود ظاہر ہو سکتا ہے۔ اسی وضاحت میں recovery email شامل کرنے کی سفارش بھی کی گئی ہے تاکہ credential بھولنے پر reset ممکن رہے۔

Recovery email ایسا پتہ ہونا چاہیے جس تک مستقل رسائی ہو، اور خود اس mailbox کی حفاظت بھی مضبوط ہونی چاہیے۔ غلط email، کھویا ہوا mailbox یا کمزور email password بحالی کے راستے کو بے فائدہ یا خطرناک بنا سکتا ہے۔ WhatsApp کی security setting بدلنے کا عمل app کے اندر سے شروع کریں؛ کسی پیغام میں آنے والے link، نامعلوم caller یا مبینہ support agent کو password، verification code یا passkey approval نہ دیں۔

Android پر نامعلوم کال سے پہلے کیا دکھے گا

Android پر contacts میں محفوظ نہ ہونے والے نمبر کی WhatsApp call کے ساتھ زیادہ context دکھایا جائے گا۔ اس میں یہ معلومات شامل ہو سکتی ہیں کہ نمبر کسی دوسرے ملک کا ہے اور caller کے ساتھ کوئی مشترک WhatsApp group موجود ہے یا نہیں۔ مقصد call اٹھانے سے پہلے فیصلہ کرنے کے لیے اضافی معلومات دینا ہے۔

یہ context شناخت یا دیانت کی ضمانت نہیں۔ مشترک group صرف دونوں اکاؤنٹس کی ایک ہی group میں موجودگی بتاتا ہے؛ اس سے caller قابل اعتماد ثابت نہیں ہوتا۔ اسی طرح پاکستانی نمبر لازماً جائز اور غیر ملکی نمبر لازماً دھوکا دہی نہیں ہوتا۔

اگر نامعلوم caller فوری طور پر verification code، رقم، account recovery approval، passkey confirmation یا screen sharing مانگے تو country اور shared-group information کو صرف ابتدائی اشارہ سمجھیں۔ متعلقہ شخص یا ادارے کی تصدیق اس کے پہلے سے معلوم نمبر یا سرکاری رابطے سے الگ طور پر کرنا زیادہ محفوظ ہے۔

یہ تبدیلیاں phishing کو کہاں تک روک سکتی ہیں

Passkey جعلی login صفحے کے خلاف مضبوط دفاع دے سکتی ہے کیونکہ استعمال کنندہ کے پاس وہ مشترک راز نہیں ہوتا جسے نقل کرکے phishing site میں درج کیا جا سکے۔ تاہم دھوکے سے device unlock کروا لینا، غیر مانوس login منظوری حاصل کرنا یا صارف سے one-time code نکلوانا الگ حملے ہیں؛ نئی سہولتیں انسانی فریب کے ہر طریقے کو خودکار طور پر نہیں روکتیں۔

Two-step password کا فائدہ بھی اس کی مضبوطی اور رازداری پر منحصر ہے۔ چھوٹا، عام یا دوسرے اکاؤنٹس پر بار بار استعمال ہونے والا password اضافی تہہ کو کمزور کر دیتا ہے۔ کوئی شخص اسے chat، email یا call میں مانگے تو یہ جائز WhatsApp verification نہیں سمجھی جانی چاہیے۔

Caller context بھی automated scam verdict نہیں بلکہ فیصلہ کرنے کے لیے محدود معلومات ہے۔ یہ نامعلوم نمبر کی جغرافیائی مناسبت یا مشترک group دکھا سکتا ہے، مگر caller کی اصل شناخت، نیت یا اس کے دعوے کی سچائی ثابت نہیں کرتا۔

پاکستان میں دستیابی کی موجودہ حد

اعلان تینوں تبدیلیوں کی تصدیق کرتا ہے، لیکن پاکستان کے تمام اکاؤنٹس کے لیے ایک مقررہ rollout تاریخ نہیں دیتا۔ اگر کسی صارف کو ابھی پرانا PIN یا صرف ایک passkey کا اختیار نظر آئے تو یہ بذات خود خرابی کا ثبوت نہیں؛ app update، operating system اور مرحلہ وار دستیابی میں فرق ممکن ہے۔

اس وقت تصدیق شدہ صورت یہ ہے کہ WhatsApp نے six-digit PIN کو زیادہ مضبوط two-step password تک بڑھایا ہے، ایک اکاؤنٹ پر متعدد passkeys کی اجازت دی ہے اور نامعلوم calls کا اضافی context Android تک محدود بتایا ہے۔ پرانے user-controlled credentials لازماً خود نہیں بدلیں گے، جبکہ iPhone پر اسی caller-context screen یا پاکستان میں rollout مکمل ہونے کی الگ تاریخ ابھی ان اعلانات میں واضح نہیں کی گئی۔