O WhatsApp anunciou em 25 de agosto de 2026 três mudanças para reforçar a segurança das contas: a verificação em duas etapas passa a aceitar uma senha mais longa e complexa no lugar do antigo PIN de seis dígitos; usuários poderão cadastrar mais de uma chave de acesso, ou passkey, quando usam dispositivos Android e iOS; e chamadas de números desconhecidos ganharão mais contexto no Android.

Para uma pequena ou média empresa, o anúncio não é apenas uma melhoria técnica. Quando o WhatsApp concentra atendimento, orçamentos, confirmações e relacionamento pós-venda, perder o controle da conta pode interromper uma parte importante da operação comercial e ainda expor clientes a tentativas de fraude em nome da empresa.

A novidade mais importante, portanto, não é um novo botão. É o incentivo para tratar a conta de mensagens como infraestrutura de negócio: com proteção forte, responsáveis definidos e um plano para reagir a acessos suspeitos.

O que mudou na segurança do WhatsApp

O primeiro reforço está na verificação em duas etapas. Até agora, essa camada adicional era protegida por um PIN de seis dígitos. Segundo a Meta, o recurso foi atualizado para permitir senhas maiores, alfanuméricas e com caracteres especiais.

Essa verificação ajuda a impedir que outra pessoa assuma a conta mesmo que consiga obter o código de acesso de uso único enviado no processo de registro. A mudança reduz a dependência de uma combinação numérica curta, mas o resultado continuará dependendo da qualidade da senha escolhida e de como ela é guardada.

O segundo avanço envolve as chaves de acesso. Elas permitem confirmar a identidade com a digital, o reconhecimento facial ou o código de bloqueio do aparelho, sem depender de um código recebido por mensagem. A Meta afirma que mais de um bilhão de pessoas já configuraram uma passkey no WhatsApp.

Agora, quem utiliza dispositivos de ecossistemas diferentes poderá adicionar mais de uma chave à mesma conta, contemplando Android e iOS. O caminho indicado pela empresa é Configurações > Conta > Chaves de acesso.

A terceira mudança aparece nas chamadas. No Android, quando um número que não está salvo liga para o usuário, o WhatsApp passa a mostrar informações como o país de origem do número e a existência de grupos em comum. O objetivo é dar mais elementos para avaliar a chamada antes de atender, especialmente em situações nas quais golpistas tentam criar urgência.

O que a Meta ainda não esclareceu

O comunicado brasileiro apresenta os recursos como atualizações em andamento, mas não informa um cronograma detalhado de liberação por país, versão do aplicativo ou tipo de conta. Também não separa a disponibilidade entre o WhatsApp comum e o WhatsApp Business.

Isso significa que uma empresa pode não encontrar imediatamente as novas opções, mesmo mantendo o aplicativo atualizado. A ausência temporária de um recurso não deve ser interpretada como erro da conta.

Também é importante não confundir as três proteções. A senha da verificação em duas etapas, a passkey e o bloqueio de tela do aparelho cumprem papéis relacionados, mas não idênticos. A PME não deve desativar uma camada porque outra foi configurada.

Por que a mudança importa para PMEs brasileiras

No uso pessoal, uma conta comprometida já causa transtorno. No uso comercial, o dano pode se espalhar por atendimento, reputação e caixa.

Uma conta tomada por terceiros pode ser usada para pedir pagamentos, alterar instruções de cobrança, abordar clientes ou interromper conversas em andamento. Mesmo quando a empresa recupera o acesso, sobra o trabalho de avisar contatos, revisar dispositivos e reconstruir confiança.

Há ainda um risco operacional menos visível: muitas PMEs deixam o número comercial associado ao celular de uma única pessoa. Senha, biometria, e-mail de recuperação e conhecimento sobre os aparelhos conectados ficam concentrados, sem documentação ou substituto responsável. A nova proteção melhora a tecnologia, mas não corrige essa dependência organizacional.

Por isso, a atualização deve servir como gatilho para uma revisão simples da conta. O ganho real aparece quando o recurso técnico vem acompanhado de processo.

Cinco ações práticas para fazer agora

1. Verifique quem é responsável pela conta

Defina uma pessoa titular e outra responsável por continuidade. Registre internamente qual número está associado à conta, quem controla o chip, qual e-mail é usado para recuperação e quais aparelhos estão autorizados.

Não compartilhe senhas em conversas comuns nem mantenha códigos em anotações acessíveis a toda a equipe. Se a empresa utiliza um gerenciador de senhas, guarde as credenciais no cofre corporativo com acesso restrito.

2. Troque o PIN por uma senha forte quando a opção aparecer

Use uma senha exclusiva, longa e difícil de adivinhar. Nome da empresa, telefone, CNPJ, datas e sequências previsíveis não são boas escolhas. A senha do WhatsApp também não deve repetir a senha do e-mail, do Instagram ou do sistema financeiro.

Se a nova opção ainda não estiver disponível, mantenha a verificação em duas etapas atual ativada. Não vale reduzir a proteção enquanto a atualização não chega à conta.

3. Cadastre passkeys nos dispositivos realmente usados

A possibilidade de manter chaves em Android e iOS é útil para quem troca de aparelho ou trabalha em ambientes diferentes. Cadastre apenas dispositivos corporativos ou pessoais autorizados pela empresa e protegidos por biometria ou bloqueio de tela forte.

Passkey não é autorização para espalhar o acesso. Quanto mais aparelhos entram no processo, maior deve ser a disciplina para remover equipamentos antigos e revisar quem ainda precisa usar a conta.

4. Revise aparelhos conectados e atualizações

Abra a lista de dispositivos conectados e encerre sessões que a equipe não reconhece ou não utiliza mais. Mantenha o WhatsApp e o sistema operacional atualizados pelas lojas oficiais.

Essa checagem deve entrar em uma rotina mensal e também acontecer quando um funcionário muda de função, deixa a empresa ou perde um aparelho.

5. Crie um protocolo para mensagens e chamadas suspeitas

O novo contexto para chamadas desconhecidas ajuda, mas não substitui verificação. Oriente a equipe a não informar códigos recebidos, não instalar aplicativos por solicitação de terceiros e não aprovar transferências apenas com base em uma mensagem ou ligação.

Pedidos financeiros, alterações de dados bancários e solicitações urgentes devem ser confirmados em um segundo canal já conhecido. O processo precisa valer inclusive quando a mensagem aparenta vir de um sócio, fornecedor ou cliente habitual.

A mudança não protege sozinha o relacionamento com o cliente

Uma conta tecnicamente segura ainda pode ser usada de forma insegura. Atendimento apressado, links sem conferência e cobranças sem validação continuam criando espaço para erro.

A empresa também precisa facilitar a identificação do canal oficial. Site, perfil do Google, Instagram, assinatura de e-mail e materiais de atendimento devem mostrar o mesmo número. Se houver troca de telefone, a alteração precisa ser comunicada de forma consistente, e não apenas por uma mensagem enviada do novo contato.

Em caso de suspeita, a equipe deve saber quem interrompe campanhas que apontam para o WhatsApp, quem avisa clientes e quem revisa acessos. Esse plano reduz o tempo entre a identificação do problema e a contenção.

Leitura da AgenciAR: segurança virou parte da conversão

Para muitas PMEs, o WhatsApp é o ponto em que uma campanha vira conversa e uma conversa vira venda. Isso faz da segurança da conta uma variável de marketing, mesmo que ela não apareça no gerenciador de anúncios.

Uma empresa pode investir corretamente em tráfego, produzir bons criativos e responder rápido. Se o canal final não for confiável, todo esse investimento fica apoiado em um único ponto de falha. O custo de uma conta comprometida não se limita às horas sem atendimento: inclui mídia desperdiçada, oportunidades perdidas e dúvida do cliente sobre qual contato é legítimo.

O anúncio da Meta é relevante porque fortalece a camada técnica sem exigir uma operação de segurança complexa. Mas a decisão que cabe à PME é gerencial: parar de tratar o número comercial como propriedade informal de um aparelho e passar a administrá-lo como ativo da empresa.

Fontes consultadas

Perguntas frequentes

A nova senha substitui o código de acesso enviado pelo WhatsApp?

Não. A senha faz parte da verificação em duas etapas e adiciona uma camada de proteção caso outra pessoa consiga o código de uso único do processo de registro.

As novas proteções já estão disponíveis no WhatsApp Business?

O anúncio oficial não apresenta um cronograma separado para o WhatsApp Business nem detalha a liberação por conta. Mantenha o aplicativo atualizado e verifique as opções em Configurações > Conta, sem desativar as proteções atuais enquanto a novidade não aparecer.

Vale cadastrar mais de uma passkey?

Sim, quando a empresa usa dispositivos Android e iOS autorizados. Cada aparelho precisa estar protegido, sob controle da empresa e sujeito a revisão quando deixar de ser usado.

O novo contexto de chamadas funciona no iPhone?

A Meta especifica o recurso para Android. O comunicado não confirma a mesma informação adicional para chamadas desconhecidas no iOS.