האם WhatsApp בטוח?

על סמך דפי העזרה ומדיניות הפרטיות של WhatsApp עצמו:

• צ'אטים אישיים, צ'אטים קבוצתיים ושיחות: מוצפנים מקצה לקצה כברירת מחדל. אפילו WhatsApp לא יכול לקרוא אותם.
• גיבויים של צ'אטים ב-iCloud או ב-Google Drive: מוצפנים מקצה לקצה רק אם מפעילים את זה.
• צ'אטים עם עסקים שמשתמשים בשירות האחסון של Meta: לא מוצפנים מקצה לקצה, כפי ש-WhatsApp עצמו אומר.
• מספר הטלפון שלכם: תמיד נדרש כדי להירשם, ודרכו אנשים מוצאים ורואים אתכם.

אז לצ'אטים היומיומיים, ההצפנה של WhatsApp חזקה. הפערים נמצאים בשוליים, וקל לפספס אותם.

כן. WhatsApp משתמש ב-Signal Protocol, אותו פרוטוקול ש-Signal ו-Morse משתמשים בו. במילים של WhatsApp עצמו, הכול קורה אוטומטית, בלי צורך להפעיל הגדרות מיוחדות. זה כולל את ההודעות, התמונות, הסרטונים, ההודעות הקוליות והשיחות שלכם, בצ'אטים אחד על אחד ובקבוצות.

זה עובד גם במכשירים מקושרים, כמו WhatsApp במחשב הנייד שלכם: כל מכשיר מתחבר בעצמו ושומר על הצ'אטים מוצפנים מקצה לקצה. אבל הצפנה מקצה לקצה מכסה רק את הדרך בין המכשירים. כמו שאפשר לראות בתמונה למטה, היא לא מגיעה לכל מקום שבו ההודעות שלכם יכולות להגיע אליו.

סקרנים איך הנעילה עצמה עובדת? הנה איך הצפנה מקצה לקצה עובדת.

שיחות קוליות ושיחות וידאו ב-WhatsApp מוצפנות מקצה לקצה, כך שאף אחד לא יכול להאזין בדרך, כולל WhatsApp.

אבל ההצפנה מגינה על השיחה רק בזמן שהיא עוברת. כל מי שמשתתף בשיחה עדיין יכול להקליט אותה באפליקציה אחרת או במכשיר שני, ואף אפליקציית מסרים לא יכולה למנוע את זה. אותו דבר לגבי צילומי מסך של הצ'אטים שלכם. ההצפנה מגינה עליכם מפני גורמים מבחוץ, לא מפני האנשים שאתם מדברים איתם.

זה הפער הכי גדול. WhatsApp יכול לגבות את היסטוריית הצ'אטים שלכם ל-iCloud ב-iPhone או ל-Google Drive ב-Android. כברירת מחדל, הגיבויים האלה לא מוגנים בהצפנה מקצה לקצה של WhatsApp. הם יושבים בחשבון Apple או Google שלכם, ומוגנים במקום זה באבטחה של החברה ההיא.

כך שהודעה שהייתה מוצפנת מקצה לקצה בדרך אליכם יכולה להגיע לגיבוי שלא מוצפן כך. אם מישהו נכנס לחשבון Apple או Google שלכם, היסטוריית הצ'אטים שלכם עלולה להיות בהישג ידו. הפתרון הוא הגדרה שנקראת גיבוי מוצפן מקצה לקצה, וזה לוקח בערך דקה.

ככה עושים את זה, לפי דפי העזרה של WhatsApp:

1. 1פתחו את ההגדרות של WhatsApp והקישו על צ'אטים, ואז על גיבוי צ'אטים.
2. 2הקישו על גיבוי מוצפן מקצה לקצה.
3. 3בחרו להשתמש במפתח גישה (passkey), או פתחו את האפשרויות הנוספות כדי להשתמש בסיסמה או במפתח הצפנה בן 64 ספרות.
4. 4צרו את הגיבוי המוצפן. שמרו את הסיסמה או המפתח במקום בטוח, כי תצטרכו אותם כדי לשחזר את הצ'אטים שלכם.

מאותו רגע, הגיבויים שלכם נעולים במשהו שרק לכם יש, בדיוק כמו הצ'אטים שלכם.

בדרך כלל, צ'אט עם עסק עובד כמו צ'אט עם חבר. אבל יש עסקים שמשתמשים בשירות האחסון של Meta כדי לנהל את הצ'אטים שלהם ב-WhatsApp, ו-WhatsApp אומר שהוא לא מחשיב את הצ'אטים האלה כמוצפנים מקצה לקצה.

אפשר לזהות אותם: WhatsApp מציג בצ'אט הודעה שאומרת שהעסק משתמש בשירות מאובטח של Meta כדי לנהל את הצ'אט. כשאתם רואים אותה, התייחסו לצ'אט כאל צ'אט שאינו פרטי רק ביניכם לבין העסק.

לא את הצ'אטים הרגילים שלכם. WhatsApp אומר ש-Meta AI יכול לקרוא רק הודעות שאתם שולחים אליו, הודעות שמזכירות את @MetaAI, והודעות שאתם בוחרים לשתף איתו. שאר הצ'אטים האישיים שלכם נשארים מוצפנים מקצה לקצה.

בתכונות כמו סיכומי הודעות, WhatsApp אומר שהוא משתמש במערכת שנקראת Private Processing, שבנויה כך ש-Meta לא יכולה לקרוא את מה שאתם משתפים. ובכל זאת, זכרו שכל מה שאתם מקלידים ל-Meta AI עצמו הוא שיחה עם Meta, לא צ'אט מוצפן מקצה לקצה עם חבר.

את ההצפנה עצמה קשה מאוד לשבור. רוב "הפריצות" ל-WhatsApp עוקפות אותה, ובדרך כלל הן מתחילות בהודעה. התרגילים הנפוצים ביותר:

• הודעה מ"חבר ותיק" או מ"התמיכה של WhatsApp" שמבקשת שתעבירו את הקוד בן שש הספרות שקיבלתם הרגע. הקוד הזה הוא מה שמאפשר למישהו לרשום את המספר שלכם בטלפון שלו.
• "היי אמא, הטלפון שלי אבד, זה המספר החדש שלי", ואחרי זה בקשה דחופה לכסף.
• קישור לדף התחברות מזויף או לפרס מזויף, שנראה כאילו הוא מגיע מ-WhatsApp.
• החלפת SIM, שבה מישהו משכנע את חברת הסלולר שלכם להעביר את המספר שלכם לכרטיס SIM שלו.

בכל המקרים האלה, אף אחד לא שובר את ההצפנה. במקום זה משתלטים על החשבון או על האדם. בגלל זה ההגדרות שבהמשך חשובות כל כך: אימות דו-שלבי לבדו עוצר את רוב ההשתלטויות על חשבונות, כי קוד גנוב כבר לא מספיק.

זו גם אחת הסיבות ש-Morse עובד בלי מספר טלפון: אין קודים ב-SMS שאפשר לגנוב, ואין החלפת SIM שצריך לדאוג ממנה.

כן, אם הוא שם יד על הטלפון הלא נעול שלכם לדקה. WhatsApp מאפשר לקשר מחשב על ידי סריקת קוד QR, כך שמי שמחזיק בטלפון שלכם יכול לקשר את המחשב הנייד שלו ולקרוא את הצ'אטים שלכם מאותו רגע והלאה.

הפתרון פשוט: פתחו מדי פעם את המכשירים המקושרים בהגדרות של WhatsApp, ונתקו כל מכשיר שאתם לא מזהים. יחד עם נעילת האפליקציה, זה סוגר את הדלת הזו.

את ההודעות שלכם אי אפשר לקרוא בדרך. אבל WhatsApp כן אוסף מידע סביבן. מדיניות הפרטיות שלו מונה דברים כמו מידע על הפעילות שלכם באפליקציה, כתובת ה-IP שלכם ומזהי מכשיר, והיא אומרת שהוא משתמש בכתובת ה-IP ובקידומת של מספר הטלפון שלכם כדי להעריך את המיקום הכללי שלכם, כמו העיר והמדינה.

WhatsApp גם אומר שבמהלך הרגיל של הדברים הוא לא שומר את ההודעות שלכם בשרתים שלו: הן נשמרות במכשיר שלכם. כך שהתוכן מוגן, ואילו מידע על איך ומתי אתם משתמשים באפליקציה לא מכוסה בהצפנה. לזה אנשים מתכוונים כשהם מדברים על מטא-דאטה.

כן. הודעות טקסט רגילות (SMS) לא מוצפנות מקצה לקצה. הן עוברות דרך חברת הסלולר שלכם בצורה שחברת הסלולר יכולה לקרוא, והן קשורות למספר הטלפון שלכם מעצם הגדרתן.

הודעות WhatsApp מוצפנות מקצה לקצה, כך שרק אתם והצד השני יכולים לקרוא אותן. אם אתם מתלבטים בין הודעת טקסט ל-WhatsApp בשביל משהו פרטי, WhatsApp היא הבחירה הטובה יותר, ואפליקציה שגם לא צריכה את המספר שלכם טובה עוד יותר.

לא. צריך מספר טלפון כדי ליצור חשבון WhatsApp. WhatsApp הכריז על שמות משתמש ביוני 2026 ומשיק אותם בהדרגה, כך שתוכלו להתכתב עם אנשים בלי למסור את המספר שלכם. אבל החשבון עצמו עדיין מתחיל במספר טלפון, ומי ששמר כבר את המספר שלכם עדיין רואה אותו.

אם אתם מעדיפים לא לקשור את ההודעות שלכם למספר טלפון בכלל, הציצו במדריך על הודעות בלי מספר טלפון.

אם אתם נשארים ב-WhatsApp, שווה להקדיש לאלה כמה דקות:

• הפעילו אימות דו-שלבי, כדי שקוד SMS גנוב לא יספיק כדי להשתלט על החשבון שלכם.
• הפעילו גיבוי מוצפן מקצה לקצה, כמו שמתואר למעלה.
• השתמשו בנעילת האפליקציה ובנעילת צ'אטים, עם טביעת האצבע או זיהוי הפנים של הטלפון, כדי שמי ששאל את הטלפון שלכם לא יוכל לפתוח את הצ'אטים.
• הריצו את בדיקת הפרטיות של WhatsApp כדי להחליט מי יכול לראות את תמונת הפרופיל שלכם, מתי הייתם מחוברים לאחרונה ועוד.
• אם אתם בסיכון גבוה יותר, למשל כעיתונאים, הציצו בהגדרות החשבון המחמירות של WhatsApp.

ככה ברירות המחדל של WhatsApp עומדות מול האפליקציות האחרות שאנשים שוקלים לעתים קרובות:

WhatsApp עשה דבר אחד גדול נכון: הצפנה מקצה לקצה כברירת מחדל. גם Morse עושה את זה, בכל צ'אט, קבוצה, תמונה, הודעה קולית ושיחה אחד על אחד, עם אותו Signal Protocol, ועם החלפת מפתחות פוסט-קוונטית (ML-KEM) מעליו.

מה שמבדיל את Morse הוא כל מה שמסביב. לא צריך מספר טלפון או אימייל כדי להירשם: אתם מקבלים Morse ID קצר, ואתם מחליטים מי יקבל אותו. אין פרסומות, כי Morse ממומן על ידי האנשים שמשתמשים בו. ואין קוד ב-SMS שמישהו יכול לשכנע אתכם למסור לו.

רוצים לראות השוואה מפורטת? הנה WhatsApp מול Morse, זה לצד זה.