WhatsApp: шифрование защищает также устройства посторонних лиц

Откройте настройки WhatsApp на своём телефоне и нажмите «Связанные устройства». В самом низу, непосредственно под списком, находится строка с маленьким значком замка. «Ваши личные сообщения зашифрованы по принципу «от конца до конца» на всех ваших устройствах». Эта строка верна. Просто она расположена в неудачном месте, поскольку успокаивает вас именно там, где может возникнуть проблема.

Связанные устройства не нарушают шифрование, а, напротив, принимают в нём полноценное участие. В справочном центре это сформулировано чётко: «Ваши личные сообщения, мультимедиа и звонки защищены сквозным шифрованием. Каждое подключённое устройство подключается к WhatsApp независимо, обеспечивая тот же ожидаемый уровень конфиденциальности и безопасности благодаря сквозному шифрованию». Человек, который подключает устройство к вашей учётной записи, не стоит снаружи и не подслушивает. Он находится внутри системы.

Четыре устройства, одноразовый код, четырнадцать дней

К вашей учетной записи можно подключить одновременно до четырёх устройств. Для этого можно использовать QR-код или, как это уже давно возможно, просто ваш номер телефона. WhatsApp сообщает: «Вы можете привязать устройство, используя номер телефона вашей основной учетной записи и одноразовый код». Ваш основной телефон не обязательно должен оставаться в сети после этого.

Остаётся ещё одно ограничение, о котором также говорится в справочном центре: «Вам необходимо входить в WhatsApp со своего основного телефона каждые 14 дней, чтобы привязанные устройства оставались подключёнными к вашей учётной записи WhatsApp». Это правило звучит как мера защиты. Однако оно действует только в отношении устройств, которыми больше никто не пользуется. Любой, кто ежедневно запускает WhatsApp — а так поступает большинство пользователей — тем самым поддерживает активность всех привязанных устройств, включая устройство незнакомого человека.

Данная схема называется «призрачное спаривание»

В январе 2026 года Британский институт стандартов (BSI) предупредил о методе фишинга, который злоупотребляет именно этой функцией. Последовательность действий не вызывает подозрений и именно по этой причине является эффективной. Сообщение поступает, зачастую с уже взломанного аккаунта знакомого или от имени социальной платформы, и ведёт на поддельную страницу. Там вам предлагается подтвердить свою личность или номер телефона.

Дальнейшие события BSI описывает следующим образом: злоумышленники передают номер в WhatsApp и используют его для запуска функции «Связать устройство с номером телефона». WhatsApp генерирует восьмизначный код сопряжения, который затем запрашивают преступники. После этого в приложении появляется запрос на сопряжение, и жертвы должны подтвердить его самостоятельно.

В этом и заключается отличие от всего, что пользователи знают о взломе учетных записей. Если кто-то перерегистрирует ваш номер, вас выгоняют из системы, и вы сразу же это замечаете. Привязка устройства — это не регистрация, поэтому ничего подобного не происходит. Вы остаётесь в системе, ваши чаты продолжают работать, телефон ведёт себя как обычно. BSI трезво оценивает последствия и отмечает, что атака зачастую долгое время остаётся незамеченной, поскольку злоумышленники злоупотребляют законной функцией приложения, а WhatsApp продолжает работать в обычном режиме.

WhatsApp предупреждает об этом с марта, но не всегда

С тех пор компания Meta внесла некоторые изменения и 11 марта 2026 года объявила о введении предупреждения при привязке устройств. По словам самой компании, WhatsApp теперь будет предупреждать пользователей, «когда поведенческие сигналы указывают на то, что запрос на привязку может быть подозрительным», и показывать, откуда поступил этот запрос.

В этом единственном предложении содержатся два ограничения. Предупреждение зависит от поведенческих сигналов и оценивает запрос как потенциально подозрительный. Речь явно не идет о уведомлении при каждой привязке — это система обнаружения рисков, которая может давать ошибочные результаты. В своём объявлении компания Meta не приводит подробностей относительно регионов, платформ или графика внедрения, а публикация появилась в индийском новостном отделе с приведёнными данными по Индии. С внешней стороны невозможно определить, будет ли это предупреждение отображаться на европейском аккаунте.

Самопроверка, которая всегда работает

Несмотря на всё вышесказанное, существует способ, который работает в любое время и занимает всего две минуты. В настройках WhatsApp в разделе «Связанные устройства» вы найдёте раздел «Состояние устройства», в котором отображаются все устройства, привязанные к вашей учётной записи на данный момент. Одно нажатие открывает подробную информацию с названием устройства, платформой и пометкой «Синхронизация завершена» для истории чатов. Внизу расположена красная кнопка «Выйти», а под ней строка, указывающая, что WhatsApp учитывает следующий случай: «Если вы не узнаёте это устройство или больше не имеете к нему доступа, вам следует выйти из него».

Отсутствует одна деталь, причём самая важная. WhatsApp показывает лишь то, активно ли устройство в данный момент или когда оно использовалось в последний раз. Информация о том, когда оно было привязано, нигде не отображается. Запись, которую невозможно разместить, не может иметь даты, и вы никогда не узнаете, как долго кто-то следит за вашими сообщениями. В случае сомнений выйдите из системы, а затем проверьте свою двухэтапную аутентификацию.

25 августа 2026 года эта система стала более надёжной. Шестизначный PIN-код превратился в полноценный пароль: более длинный, состоящий из букв и цифр, с возможностью использования специальных символов. Кроме того, вы можете настроить ключ доступа, а после обновления — даже несколько таких ключей. Ни то, ни другое не предотвращает «призрачную» привязку, поскольку в этом случае вы сами подтверждаете её. Оба этих механизма значительно затрудняют злоумышленникам превращение временно захваченного доступа в постоянный.

Что следует запомнить

Код сопряжения — это как ключ, который вы выбрасываете из окна. Он нужен только вам, и ни один настоящий веб-сайт не запрашивает его. Любой, кто подталкивает вас к использованию QR-кода или просит ввести восемь цифр, преследует цель получить доступ к вашему аккаунту. Остальное — рутина: время от времени открывайте список устройств, удаляйте записи о неизвестных вам устройствах и воспринимайте успокаивающую строку под ними как то, чем она является на самом деле — заявлением о шифровании, а не о том, кто следит за вашими действиями.