WhatsApp usernames are already raising impersonation red flags
O WhatsApp começou esta semana a implementar a reserva de nomes de usuário, antecipando-se ao lançamento mais amplo previsto para o final deste ano. O recurso — que permite que as pessoas se encontrem e troquem mensagens por meio de um nome de usuário, em vez do número de telefone — já está gerando preocupações com a falsificação de identidade, atraindo o escrutínio de especialistas em segurança e órgãos reguladores na Índia, o maior mercado do aplicativo, com mais de 500 milhões de usuários.
A implementação marca uma mudança na forma como as pessoas se identificam no WhatsApp. Em vez de depender de números de telefone como principal identificador, os usuários passarão a interagir cada vez mais por meio de nomes de usuário gerenciados pela plataforma — uma mudança que, segundo a Meta, melhora a privacidade, mas que, segundo os críticos, poderia criar novas oportunidades para a falsificação de identidade.
Em testes iniciais, o TechCrunch encontrou nomes de usuário semelhantes a políticos proeminentes, celebridades, figuras do mundo dos negócios e instituições públicas — incluindo “indiamodi”, “shahrukh.actor”, “teamamitabh”, “ambanijio” e “rbi_verify” — ainda estavam disponíveis para reserva. Esses nomes fazem referência ao primeiro-ministro indiano Narendra Modi, aos atores de Bollywood Shah Rukh Khan e Amitabh Bachchan, à empresa de telecomunicações Jio, do bilionário Mukesh Ambani, e ao Banco Central da Índia, respectivamente. Por outro lado, o fundador da Binance, Changpeng Zhao, disse no X que não conseguiu reservar “cz_binance”, o nome de usuário que ele já usa nessa plataforma.
Questionada sobre como se protege contra a falsificação de identidade, a Meta informou ao TechCrunch que reserva nomes de usuário para figuras públicas, entidades governamentais e “algumas variações” desses nomes, de modo que apenas o proprietário legítimo possa reivindicá-los. A empresa não explicou, no entanto, como decide quais nomes de usuário semelhantes são reservados de forma proativa e quais não são.
As preocupações já chegaram aos órgãos reguladores da Índia, onde esquemas de fraude cibernética frequentemente exploram plataformas de mensagens para se passar por policiais, bancos e autoridades governamentais.
Em um comunicado enviado ao WhatsApp na quarta-feira e analisado pelo TechCrunch, o Ministério de Eletrônica e Tecnologia da Informação (MeitY) afirmou que o recurso poderia “aumentar significativamente a incidência de fraudes online, phishing, golpes de prisão digital e ataques de suplantação de identidade”, ao permitir que pessoas mal-intencionadas entrem em contato com usuários sem expor seus números de telefone.
O ministério também alertou que os nomes de usuário poderiam facilitar a falsificação de identidade de “pessoas físicas, autoridades públicas, instituições financeiras e órgãos governamentais”, ao permitir nomes de usuário muito semelhantes aos de pessoas ou organizações reais. O ministério solicitou que o WhatsApp explicasse por que medidas regulatórias não deveriam ser tomadas de acordo com as leis de TI da Índia e pediu à empresa que não lançasse o recurso até que as consultas fossem concluídas.
Um alto funcionário do governo disse separadamente ao TechCrunch que o Ministério de TI da Índia está ciente da questão e está dialogando com o WhatsApp sobre o recurso.
Essa intervenção gerou reação por parte do grupo de direitos digitais Internet Freedom Foundation (IFF), com sede em Nova Délhi, que afirmou que a notificação carecia de base jurídica clara e corria o risco de conceder ao Executivo amplos poderes para ditar o design do produto. (É um dilema que as operadoras que atuam em mercados regulamentados conhecem bem: regras estabelecidas caso a caso, por meio de cartas, são mais difíceis de se planejar do que regras definidas abertamente.)
“A falsificação de identidade e a fraude são riscos reais, mas são combatidos pela aplicação da lei penal contra aqueles que os cometem”, afirmou o grupo em comunicado. “Não são combatidos pelo MeitY decidindo, em particular e por carta, quais recursos os indianos podem usar.”
O debate ecoa uma observação semelhante feita pelo Tribunal Superior de Délhi em um caso envolvendo o Telegram, no qual o tribunal afirmou que o uso de nomes de usuário em vez de números de telefone poderia facilitar a ocultação da identidade do usuário e a disseminação mais rápida de conteúdo ilícito. Esse caso não dizia respeito ao WhatsApp, mas o paralelo vem ressurgindo no debate público à medida que o WhatsApp se prepara para seu próprio lançamento.
Rachel Tobac, diretora executiva da SocialProof Security, considerou os nomes de usuário um ganho líquido para a privacidade, pois reduzem a necessidade de compartilhar números de telefone, o que pode expor os usuários a ataques de troca de SIM, phishing e invasão de contas. Ainda assim, disse ela, nomes de usuário semelhantes continuam criando oportunidades para falsificação de identidade.
“No fim das contas, os nomes de usuário são uma ótima ideia para evitar vazar seu número de telefone para pessoas que você não conhece, mas é importante verificar a identidade também por meio da função de nome de usuário”, disse Tobac ao TechCrunch.
Seu conselho para a maioria dos usuários: escolha um nome de usuário que não seja fácil de adivinhar, para que seja mais difícil para invasores te encontrarem, te enviarem mensagens sem aviso prévio ou te assediarem e enviarem spam.
Até mesmo o WhatsApp reconhece que os nomes de usuário não serão uma solução única para todos. Em uma seção de perguntas frequentes publicada no X na quarta-feira, a empresa afirmou que a maioria dos usuários deve escolher um nome de usuário exclusivo para o WhatsApp. No entanto, ela também permite que os usuários reivindiquem seus nomes de usuário existentes no Instagram ou no Facebook ao vincular suas contas, explicando que a opção tem como objetivo ajudar criadores, empresas e organizações a manter uma identidade consistente nas plataformas da Meta, ao mesmo tempo em que reduz a falsificação de identidade.
A Fundação Mozilla afirmou que a introdução dos nomes de usuário provavelmente trará novos compromissos. “O aumento de golpes e falsificação de identidade por meio de perfis falsos é potencialmente um grande problema”, disse à TechCrunch. “Verificar um número de telefone pode ser uma ferramenta útil de verificação, mas esses danos também são permitidos pelas escolhas fundamentais de design da plataforma.”
A Mozilla também destacou uma questão mais ampla de interoperabilidade — algo que vale a pena levar em conta se você estiver desenvolvendo algo com base no ecossistema da Meta ou competindo com ele. Embora permitir que os usuários reivindiquem seus nomes de usuário existentes no Facebook e no Instagram possa reduzir a falsificação de identidade, isso também mostra com que facilidade a Meta consegue integrar identidades entre seus próprios aplicativos, mesmo que os usuários ainda não possam levar essa identidade — ou seus contatos — para uma plataforma concorrente.
Por enquanto, o WhatsApp afirma que está adotando uma abordagem gradual para a implementação. “Estamos levando o tempo necessário e ouvindo os comentários para que, quando o recurso for lançado ainda este ano, tenhamos feito tudo certo”, afirmou a empresa em sua seção de perguntas frequentes.
