Las reservas de nombres de usuario en WhatsApp generan temores de suplantación de identidad mientras los reguladores de India contraatacan

WhatsApp comenzó esta semana a implementar la reserva de nombres de usuario antes del lanzamiento más amplio previsto para finales de este año. La función, que permite a las personas encontrarse y enviarse mensajes mediante un identificador en lugar del número de teléfono, ya está generando preocupaciones sobre suplantación de identidad, atrayendo el escrutinio de expertos en seguridad y reguladores en India, el mercado más grande de la aplicación, con más de 500 millones de usuarios.

Este lanzamiento marca un cambio en la forma en que las personas se identifican entre sí en WhatsApp. En lugar de depender de los números de teléfono como identificador principal, los usuarios interactuarán cada vez más a través de nombres de usuario gestionados por la plataforma, un cambio que Meta dice que mejora la privacidad pero que los críticos argumentan podría crear nuevas oportunidades para la suplantación de identidad.

En las pruebas iniciales, nombres de usuario que se asemejan a políticos prominentes, celebridades, figuras empresariales e instituciones públicas, incluidos "indiamodi", "shahrukh.actor", "teamamitabh", "ambanijio" y "rbi_verify", aún estaban disponibles para reservar. Estos hacen referencia al Primer Ministro de India, Narendra Modi, a los actores de Bollywood Shah Rukh Khan y Amitabh Bachchan, a la empresa de telecomunicaciones Jio del multimillonario Mukesh Ambani y al Banco de la Reserva de India, respectivamente. Por separado, el fundador de Binance, Changpeng Zhao, dijo en X que no pudo reservar "cz_binance", el identificador que ya usa en esa plataforma.

Contraataque regulatorio en India

Las preocupaciones ya han llegado a los reguladores en India, donde los esquemas de ciberfraude explotan con frecuencia las plataformas de mensajería para suplantar a la policía, bancos y funcionarios gubernamentales. En un aviso enviado a WhatsApp el miércoles, el Ministerio de Electrónica y Tecnología de la Información (MeitY) dijo que la función podría "aumentar materialmente la incidencia de fraude en línea, phishing, estafas de arresto digital y ataques de suplantación de identidad" al permitir que actores maliciosos se pongan en contacto con los usuarios sin exponer sus números de teléfono.

El ministerio también advirtió que los nombres de usuario podrían facilitar la suplantación de "individuos, autoridades públicas, instituciones financieras y agencias gubernamentales" al permitir nombres de usuario muy similares a los de personas u organizaciones genuinas. Instó a WhatsApp a explicar por qué no se debería iniciar una acción regulatoria en virtud de las leyes de TI de India y pidió a la empresa que no implementara la función hasta que se completaran las consultas. Un alto funcionario del gobierno confirmó por separado que el Ministerio de TI de India está dialogando con WhatsApp sobre la función.

Preocupaciones sobre derechos digitales

Esa intervención ha generado su propia reacción por parte del grupo de derechos digitales con sede en Nueva Delhi, Internet Freedom Foundation (IFF), que dijo que el aviso carecía de una base legal clara y corría el riesgo de otorgar al ejecutivo amplios poderes para dictar el diseño de productos. "La suplantación de identidad y el fraude son riesgos reales, pero se abordan aplicando la ley penal contra quienes los cometen", dijo el grupo en un comunicado. "No se abordan mediante la decisión de MeitY, en privado y por carta, sobre qué funciones pueden usar los indios".

El debate se hace eco de una observación similar que hizo el Tribunal Superior de Delhi en un caso relacionado con Telegram, donde el tribunal dijo que el uso de nombres de usuario en lugar de números de teléfono podría facilitar la ocultación de la identidad del usuario y la difusión de contenido ilícito más rápidamente. Ese caso no se refería a WhatsApp, pero el paralelismo ha estado resurgiendo en la discusión pública mientras WhatsApp prepara su propio lanzamiento.

Cómo planea Meta prevenir la suplantación de identidad

Consultado sobre cómo se protege contra la suplantación de identidad, Meta dijo a TechCrunch que reserva nombres de usuario para figuras públicas, entidades gubernamentales y "algunas variaciones" de esos nombres para que solo el propietario legítimo pueda reclamarlos. La empresa no explicó, sin embargo, cómo decide qué nombres de usuario similares se reservan de forma proactiva y cuáles no.

En una sección de preguntas frecuentes publicada en X el miércoles, WhatsApp dijo que la mayoría de los usuarios deberían elegir un nombre de usuario único para WhatsApp. Sin embargo, también permite a los usuarios reclamar sus nombres de usuario existentes de Instagram o Facebook vinculando sus cuentas, diciendo que la opción está destinada a ayudar a creadores, empresas y organizaciones a mantener una identidad coherente en las plataformas de Meta y, al mismo tiempo, reducir la suplantación de identidad.

Rachel Tobac, directora ejecutiva de SocialProof Security, calificó los nombres de usuario como una ganancia neta para la privacidad porque reducen la necesidad de compartir números de teléfono, lo que puede exponer a los usuarios a ataques de intercambio de SIM, phishing y robos de cuentas. Aun así, dijo que los nombres de usuario similares aún crean oportunidades para la suplantación de identidad. "En última instancia, los nombres de usuario son una gran idea para evitar filtrar su número de teléfono a personas que no conoce, pero también es importante verificar la identidad con la función de nombre de usuario", dijo Tobac a TechCrunch. Su consejo para la mayoría de los usuarios: elija un nombre de usuario que no sea fácil de adivinar, para que sea más difícil que los atacantes lo encuentren, le envíen mensajes en frío o lo acosen y envíen spam.

La Fundación Mozilla dijo que la introducción de nombres de usuario probablemente traerá nuevas concesiones. "El aumento de estafas y suplantación de identidad a partir de identificadores falsos es potencialmente uno importante", dijo a TechCrunch. "Verificar un número de teléfono puede ser una herramienta de verificación útil, pero estos daños también están permitidos por las decisiones de diseño fundamentales de la plataforma".

Mozilla también señaló una cuestión más amplia de interoperabilidad: si bien permitir que los usuarios reclamen sus nombres de usuario existentes de Facebook e Instagram puede reducir la suplantación de identidad, también muestra con qué facilidad Meta puede unir la identidad a través de sus propias aplicaciones, incluso cuando los usuarios aún no pueden llevar esa identidad, o sus contactos, a una plataforma rival.

Por ahora, WhatsApp dice que está adoptando un enfoque gradual para el lanzamiento. "Nos estamos tomando nuestro tiempo y escuchando los comentarios para que cuando se implemente a finales de este año lo hagamos bien", dijo la empresa en sus preguntas frecuentes.