Nuevos nombres de usuario en WhatsApp generan preocupaciones por suplantación

WhatsApp comenzó esta semana a implementar la opción de reservar nombres de usuario, una función que permitirá a los usuarios encontrarse y comunicarse mediante un identificador en lugar de un número de teléfono. Sin embargo, este cambio ya ha suscitado preocupaciones sobre la posibilidad de suplantación de identidad, lo que ha llevado a un escrutinio por parte de expertos en seguridad y reguladores en India, el mercado más grande de la aplicación, con más de 500 millones de usuarios.

Este cambio representa un cambio significativo en la forma en que los usuarios se identifican en WhatsApp. En lugar de depender de números de teléfono como identificadores principales, los usuarios interactuarán cada vez más a través de nombres de usuario gestionados por la plataforma. Meta, la empresa matriz de WhatsApp, afirma que esta medida mejora la privacidad, aunque los críticos sostienen que podría abrir nuevas oportunidades para la suplantación.

Durante pruebas iniciales, TechCrunch descubrió que estaban disponibles nombres de usuario que se asemejan a figuras públicas prominentes, como "indiamodi", "shahrukh.actor", "teamamitabh", "ambanijio" y "rbi_verify". Estos nombres hacen referencia al Primer Ministro indio Narendra Modi, a actores de Bollywood como Shah Rukh Khan y Amitabh Bachchan, a la empresa de telecomunicaciones Jio del multimillonario Mukesh Ambani, y al Banco de Reserva de la India, respectivamente. Por otro lado, el fundador de Binance, Changpeng Zhao, expresó en X que no pudo reservar "cz_binance", el identificador que ya utiliza en esa plataforma.

Consultada sobre las medidas que implementará para protegerse contra la suplantación, Meta indicó a TechCrunch que reserva nombres de usuario para figuras públicas, entidades gubernamentales y algunas variaciones de esos nombres, de modo que solo el propietario legítimo pueda reclamarlos. Sin embargo, la compañía no explicó cómo decide qué nombres similares se reservan de manera proactiva y cuáles no.

Las preocupaciones ya han llegado a los reguladores en India, donde los esquemas de fraude cibernético a menudo explotan plataformas de mensajería para suplantar a policías, bancos y funcionarios gubernamentales. En un aviso enviado a WhatsApp el miércoles y revisado por TechCrunch, el Ministerio de Electrónica y Tecnología de la Información (MeitY) advirtió que esta nueva función podría "aumentar materialmente la incidencia de fraudes en línea, phishing, estafas de arresto digital y ataques de suplantación" al permitir que los actores maliciosos contacten a los usuarios sin exponer sus números de teléfono.

El ministerio también advirtió que los nombres de usuario podrían facilitar la suplantación de "individuos, autoridades públicas, instituciones financieras y agencias gubernamentales" al permitir que se utilicen nombres de usuario que se asemejen a los de personas u organizaciones genuinas. Exigió a WhatsApp que explique por qué no se deberían iniciar acciones regulatorias bajo las leyes de TI de la India y pidió a la empresa que no implemente la función hasta que se hayan completado las consultas.

Esta intervención ha generado críticas por parte del grupo de derechos digitales Internet Freedom Foundation (IFF) con sede en Nueva Delhi, que afirmó que el aviso carecía de una base legal clara y que podría otorgar al ejecutivo amplios poderes para dictar el diseño del producto. "La suplantación y el fraude son riesgos reales, pero se abordan haciendo cumplir la ley penal contra quienes los cometen", declaró el grupo en un comunicado. "No se abordan permitiendo que MeitY decida, en privado y por carta, qué características pueden usar los indios".

El debate recuerda una observación similar que hizo el Tribunal Superior de Delhi en un caso relacionado con Telegram, donde el tribunal afirmó que el uso de nombres de usuario en lugar de números de teléfono podría facilitar la ocultación de la identidad del usuario y la difusión más rápida de contenido ilícito. Aunque este caso no se refería a WhatsApp, el paralelismo ha resurgido en la discusión pública a medida que WhatsApp se prepara para su propio lanzamiento.

Privacidad, confianza y poder de la plataforma

Rachel Tobac, directora ejecutiva de SocialProof Security, calificó los nombres de usuario como una ganancia neta para la privacidad, ya que reducen la necesidad de compartir números de teléfono, lo que puede exponer a los usuarios a ataques de suplantación de SIM, phishing y toma de cuentas. Sin embargo, también advirtió que los nombres de usuario similares aún crean oportunidades para la suplantación.

Su consejo para la mayoría de los usuarios es elegir un nombre de usuario que no sea fácilmente adivinable, para que sea más difícil para los atacantes encontrarlos, contactarlos sin previo aviso o acosarlos y enviarles spam.

Aún así, WhatsApp reconoce que los nombres de usuario no serán una solución única para todos. En una sección de preguntas frecuentes publicada en X el miércoles, la compañía indicó que la mayoría de los usuarios deberían elegir un nombre de usuario único para WhatsApp. Sin embargo, también permite a los usuarios reclamar sus nombres de usuario existentes de Instagram o Facebook vinculando sus cuentas, indicando que esta opción está destinada a ayudar a creadores, empresas y organizaciones a mantener una identidad consistente en las plataformas de Meta mientras se reduce la suplantación.

La Mozilla Foundation advirtió que la introducción de nombres de usuario probablemente traerá nuevos compromisos. "El aumento de estafas y suplantaciones por parte de identificadores falsos es potencialmente uno de ellos", le dijo a TechCrunch. "Comprobar un número de teléfono puede ser una herramienta de verificación útil, pero estos daños también son permitidos por las decisiones de diseño fundamentales de la plataforma".

Mozilla también señaló una cuestión más amplia sobre la interoperabilidad, que vale la pena tener en cuenta si se está construyendo sobre o compitiendo con el ecosistema de Meta. Si bien permitir a los usuarios reclamar sus nombres de usuario existentes de Facebook e Instagram puede reducir la suplantación, también muestra cuán fácilmente Meta puede unir identidades a través de sus propias aplicaciones, incluso cuando los usuarios aún no pueden llevar esa identidad, o sus contactos, a una plataforma rival.

Por el momento, WhatsApp afirmó que está adoptando un enfoque gradual para el lanzamiento. "Nos estamos tomando nuestro tiempo y escuchando comentarios para que, cuando se implemente más adelante este año, lo hagamos bien", indicó la compañía en su sección de preguntas frecuentes.

Temas