Nomes de usuário do WhatsApp já estão levantando sinais de alerta para falsificação de identidade

WhatsApp esta semana começou a implementar reservas de nome de usuário antes do lançamento mais amplo planejado ainda este ano. O recurso – que permite que as pessoas se encontrem e enviem mensagens umas às outras pelo identificador em vez do número de telefone – já está levantando preocupações sobre falsificação de identidade, atraindo o escrutínio de especialistas em segurança e reguladores na Índia, o maior mercado do aplicativo, com mais de 500 milhões de usuários.

O lançamento marca uma mudança na forma como as pessoas se identificam no WhatsApp. Em vez de depender de números de telefone como identificador principal, os usuários interagirão cada vez mais por meio de nomes de usuário gerenciados pela plataforma, uma mudança que, segundo Meta, melhora a privacidade, mas que os críticos argumentam que poderia criar novas oportunidades de falsificação de identidade.

Nos primeiros testes, o TechCrunch descobriu que nomes de usuários semelhantes a políticos proeminentes, celebridades, figuras empresariais e instituições públicas – incluindo “indiamodi”, “shahrukh.actor”, “teamamitabh”, “ambanijio” e “rbi_verify” – ainda estavam disponíveis para reserva. Estes fazem referência ao primeiro-ministro indiano Narendra Modi, aos atores de Bollywood Shah Rukh Khan e Amitabh Bachchan, à empresa de telecomunicações Jio do bilionário Mukesh Ambani e ao Banco Central da Índia, respectivamente. Separadamente, o fundador da Binance, Changpeng Zhao disse no X que ele não poderia reservar “cz_binance”, o identificador que ele já usa nessa plataforma.

Questionado sobre como protege contra falsificação de identidade, Meta disse ao TechCrunch que reserva nomes de usuário para figuras públicas, entidades governamentais e “algumas variações” desses nomes para que apenas o proprietário legítimo possa reivindicá-los. A empresa não explicou, entretanto, como decide quais nomes de usuário semelhantes serão reservados proativamente e quais não.

As preocupações já chegaram aos reguladores na Índia, onde esquemas de fraude cibernética exploram frequentemente plataformas de mensagens para se passar por policiais, bancos e funcionários do governo.

Em um aviso enviado ao WhatsApp na quarta-feira e revisado pelo TechCrunch, o Ministério de Eletrônica e Tecnologia da Informação (MeitY) disse que o recurso poderia “aumentar materialmente a incidência de fraudes online, phishing, golpes de prisão digital e ataques de falsificação de identidade”, permitindo que malfeitores entrem em contato com usuários sem expor seus números de telefone.

O ministério também alertou que os nomes de usuário poderiam facilitar a representação de “indivíduos, autoridades públicas, instituições financeiras e agências governamentais”, permitindo nomes de usuário muito semelhantes aos de pessoas ou organizações genuínas. Ele instruiu o WhatsApp a explicar por que ações regulatórias não deveriam ser iniciadas sob as leis de TI da Índia e pediu à empresa que não implementasse o recurso até que as consultas fossem concluídas.

Um alto funcionário do governo disse separadamente ao TechCrunch que o ministério de TI indiano está ciente do problema e está interagindo com o WhatsApp por meio do recurso.

Essa intervenção provocou a sua própria resistência por parte do grupo de direitos digitais Internet Freedom Foundation (IFF), com sede em Nova Deli, que disse o aviso carecia de uma base jurídica clara e corria o risco de dar ao executivo amplos poderes para ditar o design do produto. (É um dilema que os operadores que desenvolvem mercados regulamentados conhecem bem: as regras elaboradas caso a caso, por carta, são mais difíceis de planear do que as regras elaboradas abertamente.)

“A falsificação de identidade e a fraude são riscos reais, mas são enfrentados através da aplicação da lei penal contra aqueles que os cometem”, afirmou o grupo num comunicado. “Eles não são recebidos pela MeitY para decidir, em particular e por carta, quais recursos os indianos podem usar.”

O debate ecoa uma observação semelhante o Supremo Tribunal de Delhi fez um caso envolvendo o Telegram, onde o tribunal disse que o uso de nomes de usuário em vez de números de telefone poderia tornar mais fácil ocultar a identidade do usuário e espalhar conteúdo ilícito com mais rapidez. Esse caso não era sobre o WhatsApp, mas o paralelo vem ressurgindo na discussão pública enquanto o WhatsApp prepara seu próprio lançamento.

Privacidade, confiança e poder da plataforma

Rachel Tobac, executiva-chefe da SocialProof Security, classificou os nomes de usuário como um ganho líquido de privacidade porque reduzem a necessidade de compartilhar números de telefone, o que pode expor os usuários a ataques de troca de SIM, phishing e invasão de contas. Ainda assim, disse ela, nomes de usuário semelhantes ainda criam oportunidades de falsificação de identidade.

“Em última análise, os nomes de usuário são uma ótima ideia para evitar o vazamento do seu número de telefone para pessoas que você não conhece, mas também é importante verificar a identidade com a função de nome de usuário”, disse Tobac ao TechCrunch.

Seu conselho para a maioria dos usuários: escolha um nome de usuário que não seja facilmente adivinhado, para que seja mais difícil para os invasores encontrarem você, enviarem mensagens frias ou assediarem e enviarem spam.

Até o WhatsApp reconhece que os nomes de usuário não serão iguais para todos. Em uma pergunta frequente postado no X na quarta-feira, a empresa disse que a maioria dos usuários deveria escolher um nome de usuário exclusivo para o WhatsApp. No entanto, também permite que os usuários reivindiquem seus nomes de usuário existentes do Instagram ou Facebook vinculando suas contas, dizendo que a opção tem como objetivo ajudar criadores, empresas e organizações a manter uma identidade consistente nas plataformas Meta, ao mesmo tempo que reduz a representação.

A Mozilla Foundation disse que a introdução de nomes de usuário provavelmente trará novas compensações. “O aumento de golpes e falsificações de identidade são potencialmente um grande problema”, disse ao TechCrunch. “Verificar um número de telefone pode ser uma ferramenta de verificação útil, mas esses danos também são permitidos pelas escolhas fundamentais de design da plataforma.”

A Mozilla também sinalizou uma questão mais ampla de interoperabilidade – uma que vale a pena registrar se você estiver construindo ou competindo com o ecossistema do Meta. Embora permitir que os usuários reivindiquem seus nomes de usuário existentes no Facebook e Instagram possa reduzir a falsificação de identidade, também mostra como o Meta pode facilmente unir identidades em seus próprios aplicativos, mesmo que os usuários ainda não consigam levar essa identidade, ou seus contatos, para uma plataforma rival.

Por enquanto, o WhatsApp diz que está adotando uma abordagem gradual para o lançamento. “Estamos dedicando nosso tempo e ouvindo o feedback para que, quando for lançado ainda este ano, possamos acertar”, disse a empresa em seu FAQ.