WhatsApp zmienia sposób, w jaki użytkownicy identyfikują się na platformie. Od czerwca 2026 roku Meta pozwala rezerwować unikalne nazwy użytkownika, które z czasem zastąpią numer telefonu jako główny identyfikator kontaktu. Zmiana dotyczy ponad 3 miliardów użytkowników w 180 krajach i ma bezpośrednie przełożenie na jeden z najpowszechniejszych wektorów oszustw ostatnich lat – phishing prowadzony przez WhatsApp.
Co to WhatsApp?
WhatsApp to komunikator należący do Meta, wykorzystywany przez ponad 3 miliardy osób w 180 krajach do prywatnych rozmów, połączeń głosowych i wideo oraz komunikacji z firmami. Aplikacja szyfruje wiadomości end-to-end, co oznacza, że treść czatów odczytać mogą tylko nadawca i odbiorca, nie sam WhatsApp.
Dlaczego zmiana w aplikacji ma znaczenie dla bezpieczeństwa firm?
Dla organizacji WhatsApp od dawna wykracza poza sferę prywatną:
- zespoły sprzedaży i obsługi klienta prowadzą przez niego rozmowy z klientami,
- pracownicy korzystają z niego na urządzeniach służbowych,
- a w wielu firmach funkcjonują nieformalne grupy zespołowe.
To sprawia, że każda zmiana w mechanizmie identyfikacji użytkowników WhatsApp ma znaczenie nie tylko dla osoby prywatnej, ale i dla modelu ryzyka całej organizacji.
Sama potrzeba, którą Meta adresuje wprowadzeniem nazw użytkownika, jest prosta i dobrze znana każdemu, kto korzystał z grupowych czatów. Jak opisuje to sama firma, dołączenie do czatu rodziców z drużyny sportowej dziecka albo grupy sąsiedzkiej wymagało dotąd podania numeru telefonu osobom, których się nie znało.
Numer telefonu, w odróżnieniu od nazwy użytkownika, jest trwale powiązany z tożsamością, historią kredytową, kontem bankowym i wieloma innymi usługami – stąd jego udostępnianie nieznajomym niosło ryzyko wykraczające daleko poza samą aplikację.
Czym są nazwy użytkownika (usernames) w WhatsApp i jak działają
Nazwa użytkownika w WhatsApp to unikalny identyfikator, który osoba dzieląca się nim udostępnia zamiast numeru telefonu.
Kontakt, który nie ma numeru w swojej książce adresowej, po wdrożeniu funkcji zobaczy właśnie username, nie cyfry. Mechanizm działa na Androidzie, iOS, Windows i w wersji webowej.
Rezerwacja i generator username
Rezerwacji można dokonać już teraz, mimo że pełne uruchomienie funkcji nastąpi w drugiej połowie 2026 roku, stopniowo, kraj po kraju.
Ścieżka jest krótka: Ustawienia > Konto > Username, po aktualizacji do najnowszej wersji aplikacji. Nazwa musi mieć od 3 do 35 znaków, zawierać co najmniej jedną literę i może się składać z małych liter, cyfr, kropek i podkreśleń. Nie może zaczynać się od „www.” ani kończyć domeną, jak „.com” czy „.net” – to zabezpieczenie przed nazwami imitującymi adresy stron. Ponieważ z WhatsAppa korzysta ponad 3 miliardy osób, wiele oczywistych nazw jest już zajętych, dlatego Meta udostępniła też generator, który proponuje warianty dostępnego username.
Username key jako warstwa kontroli pierwszego kontaktu
Poza samą nazwą można ustawić opcjonalny username key – krótki kod, który osoba kontaktująca się po raz pierwszy musi znać razem z username. Bez klucza sama nazwa nie wystarczy do napisania wiadomości. WhatsApp nie prowadzi żadnego katalogu ani wyszukiwarki użytkowników i nie podsuwa sugestii kontaktów – trzeba znać dokładną nazwę, żeby nawiązać rozmowę.
Opcja dla twórców, firm i organizacji
Osoby prowadzące działalność, które chcą zachować spójną obecność w internecie, mogą przejąć na WhatsAppie username już zajęty przez nie na Instagramie lub Facebooku, po weryfikacji własności przez Accounts Center. Ten wybór ułatwia rozpoznawalność marki, ale ma też konsekwencje, do których wracam w części o nowych ryzykach.
Zasady nazewnictwa i ograniczenia
Username musi być dostępny równocześnie na WhatsApp, Instagramie i Facebooku – jeśli ktoś zajął go wcześniej na jednej z tych platform, nie można go użyć na WhatsAppie bez potwierdzenia własności. Część nazw jest zarezerwowana z góry dla rządów, osób publicznych i firm i nie będzie można ich zająć jako zwykły użytkownik. Nazwę można w każdej chwili zmienić lub usunąć, ale zwolniona staje się dostępna dla kogoś innego.
Dlaczego numer telefonu był dotąd słabym punktem WhatsAppa?
Numer telefonu jako identyfikator konta miał jedną fundamentalną wadę: był stały, publiczny i wielokrotnie wykorzystywany poza samym WhatsAppem – w bankowości, u operatora, w systemach weryfikacji dwuetapowej innych serwisów. Każdy wyciek danych, który obejmował numery telefonów, automatycznie dawał przestępcom gotową listę potencjalnych ofiar WhatsAppa.
Jak phisherzy wykorzystywali numer telefonu – mechanizm kodu weryfikacyjnego i przekierowania połączeń
Dużą grupą metod jest wykorzystanie samego procesu rejestracji WhatsAppa, do którego numer telefonu jest niezbędny.
Kod weryfikacyjny jako najprostsza droga do przejęcia konta
Napastnik nie musi łamać żadnego zabezpieczenia WhatsAppa – wystarczy, że zna numer telefonu ofiary. Schemat wygląda tak: numer telefonu ofiary, żądanie rejestracji konta na urządzeniu napastnika, prawdziwy sześciocyfrowy kod wysłany przez WhatsApp na numer ofiary, fałszywa strona lub wiadomość skłaniająca do ujawnienia tego kodu, przekazanie kodu, przejęcie konta.
Singapore Police Force opisała w listopadzie 2025 roku falę takich ataków, w których po przejęciu konta oszust wysyłał do kontaktów ofiary prośby o pożyczkę, podszywając się pod jej wiarygodną tożsamość (źródło). Mechanizm jest prosty właśnie dlatego, że opiera się na znajomości numeru i chwili nieuwagi właściciela konta, nie na luce technicznej w samej aplikacji.
Przekierowanie połączeń i kody USSD – ograniczenia mechanizmu
Indyjski ośrodek I4C ostrzegał w grudniu 2025 roku przed oszustami podszywającymi się pod kurierów, którzy nakłaniali ofiary do wybrania kodu USSD rozpoczynającego się od *21 i zawierającego numer kontrolowany przez przestępcę, co aktywowało przekierowanie połączeń.
Warto tu zachować precyzję: przekierowanie połączeń nie oznacza automatycznego przekazywania standardowych wiadomości SMS, a atak na WhatsAppa jest możliwy przede wszystkim wtedy, gdy napastnik wcześniej uruchomi rejestrację konta na numer ofiary i wybierze przekazanie kodu w automatycznym połączeniu głosowym – WhatsApp oficjalnie umożliwia odebranie sześciocyfrowego kodu zarówno przez SMS, jak i przez połączenie telefoniczne.
Same kody USSD i ich działanie różnią się zależnie od kraju, operatora i konfiguracji sieci, więc nie da się mówić o jednym uniwersalnym „kodzie przejmującym WhatsAppa”.
Złośliwe linki, QRLJacking i fałszywe wersje aplikacji – od WhatsApp Gold do dziś
Ten sam cel, przejęcie kontroli nad kontem lub urządzeniem, osiąga się też bez żadnego kodu weryfikacyjnego. Kody QR udostępniane w czatach mogą po zeskanowaniu połączyć urządzenie napastnika z sesją WhatsApp Web ofiary – technikę tę określa się mianem QRLJacking.
Przynęta w postaci „WhatsApp Gold”, rzekomej ulepszonej wersji aplikacji z dodatkowymi funkcjami, krąży w wiadomościach łańcuszkowych od co najmniej 2016 roku i wraca cyklicznie, prowadząc do złośliwego oprogramowania lub fałszywych stron płatnych.
Pokazuje to, że triki oparte na fałszywych aktualizacjach i linkach nie są nowością związaną z rokiem 2025 czy 2026 – zmienia się tylko opakowanie, jak we wspomnianej wcześniej kampanii z plikami VBS opisanej przez Microsoft.
Inne przykłady cyberataków z użyciem WhatsApp
Przejęcia kont administratorów grup
W grupie rodziców z drużyny sportowej administrator poprosił uczestników o przekazanie kodu, rzekomo potrzebnego do udziału w spotkaniu. W rzeczywistości był to kod zabezpieczający ich konta WhatsApp – atak, który Derbyshire Police i Castle Gresley Parish Council opisały jako falę przejęć kont w grupach na początku 2025 roku (źródło). Numer telefonu każdego z członków grupy był identyfikatorem konta, wobec którego napastnik uruchamiał proces przejęcia, a sama grupa dawała mu gotową listę kolejnych ofiar i wiarygodny pretekst.
GhostPairing – przejęcie przez sfałszowany link parowania
Badacze Gen Digital i Avast opisali atak, w którym ofiara dostawała od już przejętego konta znajomego wiadomość w stylu „znalazłem twoje zdjęcie”, prowadzącą do strony imitującej Facebooka. Strona przeprowadzała ją przez legalny proces parowania WhatsAppa z nowym urządzeniem, więc ofiara sama, nieświadomie, zatwierdzała dostęp napastnika (Gen Digital, Avast).
Fałszywe głosowanie w konkursie jako przynęta w kampanii globalnej
Whalebone Threat Intelligence odnotował ten sam schemat co GhostPairing, oparty na fałszywym głosowaniu w konkursie, w ponad 15 krajach na całym świecie – głównie w Europie Środkowej i Południowej (Czechy, Słowacja, Słowenia, Serbia, Rumunia, Bułgaria, Polska, Chorwacja), ale też w Hiszpanii, Włoszech, Brazylii czy Meksyku – z wariantami językowymi dopasowanymi do lokalnych odbiorców i rozbudowaną infrastrukturą phishingową obejmującą ponad 200 zablokowanych domen (źródło).
Podszywanie się pod bliskich z przejętego konta
Wspólny biuletyn Sussex Police i Surrey Police opisał przypadek osoby z Sussex, która dostała na WhatsAppie wiadomość z przejętego konta swojej siostry z prośbą o pieniądze i straciła niemal 500 funtów, zanim zorientowała się, że rozmawia z oszustem (źródło). Numer telefonu i wynikające z niego zaufanie do kontaktu z listy znajomych są tu kluczowe – ofiara nie weryfikowała rozmówcy, bo wiadomość przyszła z konta, które znała od lat.
Złośliwe pliki i infekcja urządzenia
Microsoft opisał kampanię trwającą od końca lutego 2026 roku, w której przez WhatsApp rozsyłano złośliwe pliki VBS, uruchamiające wieloetapowy łańcuch infekcji i instalujące backdoory MSI zapewniające zdalny dostęp do systemu (źródło).
Fałszywe „WhatsApp Security Centre”
HKCERT ostrzegał w czerwcu 2026 przed fałszywymi stronami „WhatsApp Security Centre”, które pod pretekstem odblokowania rzekomo zawieszonego konta nakłaniały do zeskanowania kodu QR lub podania kodu parowania (źródło).
Czym jest phishing przez WhatsApp
Phishing przez WhatsApp to metoda ataku, w której przestępca za pomocą wiadomości, połączenia głosowego lub linku udostępnionego w komunikatorze podszywa się pod znaną markę, instytucję albo osobę z kontaktów ofiary, aby wyłudzić dane osobowe, pieniądze lub dostęp do konta.
Od phishingu mailowego różni go kilka cech, które akurat na WhatsAppie działają na korzyść atakującego:
- Szyfrowanie end-to-end chroni treść rozmów przed podsłuchem, ale jednocześnie oznacza, że WhatsApp nie może automatycznie skanować czatów w poszukiwaniu złośliwych linków czy oszukańczego tekstu – wykrycie ataku zależy w całości od odbiorcy.
- Komunikator jest też przestrzenią zbudowaną na zaufaniu do bliskich kontaktów, więc wiadomość od „znajomego” czy „administratora grupy” budzi mniej podejrzeń niż analogiczny e-mail od nieznanego nadawcy.
- Do tego dochodzi to, że wiadomość trafia na telefon z powiadomieniem w czasie rzeczywistym, co skłania do szybszej, mniej przemyślanej reakcji niż w przypadku poczty elektronicznej.
Phishing przez WhatsApp przybiera wiele konkretnych form – od fałszywych kodów weryfikacyjnych i stron imitujących centrum bezpieczeństwa, przez złośliwe linki i pliki, po podszywanie się pod bliskich z przejętego konta. Wspólnym mianownikiem wszystkich wariantów jest wykorzystanie zaufania i presji czasu do obejścia zdrowego rozsądku ofiary, nie łamanie zabezpieczeń technicznych samej aplikacji.
Jak nazwy użytkownika mogą ograniczyć phishing na WhatsApp
Username realnie utrudnia jeden konkretny etap ataku: pierwszy, niezamówiony kontakt oparty na znajomości samego numeru telefonu.
Nie chroni natomiast przed przejęciem konta, gdy napastnik już zna numer, ma dostęp do kodu rejestracyjnego albo działa z poziomu konta osoby, którą ofiara zna i której ufa.
Co username realnie blokuje?
Boty typu auto-dialer, które masowo skanują zakresy numerów w poszukiwaniu aktywnych kont WhatsApp, tracą swój podstawowy atut. Sam numer przestaje wystarczać do nawiązania pierwszego kontaktu – potrzebna jest dokładna nazwa użytkownika, a przy włączonym username key także dodatkowy kod.
Brak katalogu i sugestii kontaktów oznacza też, że nie da się „przeglądać” użytkowników WhatsAppa tak, jak przegląda się profile w innych serwisach społecznościowych.
Dla ofiar masowych kampanii spamowych i oszustw pierwszego kontaktu, takich jak fałszywe loterie czy oferty pracy trafiające na numer z wyciekniętej bazy, to realna, mierzalna bariera.
Co username nie blokuje
Żaden z opisanych wcześniej przypadków, który polegał na przejęciu konta, nie zniknąłby dzięki samej nazwie użytkownika.
- Kod weryfikacyjny wciąż trzeba będzie przekazać, jeśli ktoś się na to nabierze, niezależnie od tego, czy nadawca zna numer, czy tylko username.
- Kod parowania i skanowanie QR w GhostPairingu czy fałszywym „WhatsApp Security Centre” działają na urządzeniu ofiary, nie na jej numerze telefonu.
- Wiadomość od przejętego konta znajomego, jak w przypadku opisanym przez Surrey Police, dociera do ofiary niezależnie od tego, czy widzi numer, czy nazwę – zaufanie budzi tu tożsamość rozmówcy, nie forma jego identyfikatora.
Innymi słowy, username przesuwa próg dla ataków opartych na anonimowym, masowym docieraniu do numerów, ale zostawia otwartą całą kategorię ataków opartych na przejęciu istniejącego konta, która w materiale źródłowym z lat 2025-2026 dominuje liczebnie nad klasycznym cold phishingiem na nieznany numer.
