Nombres de usuario en WhatsApp: ¿nueva puerta para la suplantación?

¿Qué ha ocurrido?

WhatsApp ha iniciado la reserva de nombres de usuario, una función que permite a los usuarios elegir un identificador único para ser contactados sin revelar su número de teléfono. Sin embargo, según reportes de TechCrunch y Xataka, nombres que imitan a figuras públicas, empresas e instituciones —como 'indiamodi', 'shahrukh.actor', 'rbi_verify' o 'cz_binance'— ya están disponibles o han sido reservados antes de que sus legítimos dueños pudieran hacerlo. El fundador de Binance, Changpeng Zhao, confirmó en X que no pudo reservar su propio nombre de usuario, lo que sugiere que alguien más lo hizo. TechCrunch reportó que en una fase temprana encontró disponibles nombres como 'indiamodi' (en alusión al primer ministro indio, Narendra Modi), 'shahrukh.actor' (por el actor Shah Rukh Khan), 'rbi_verify' (simulando al Banco de la Reserva de India) y 'cz_binance' (por el CEO de Binance). Esto indica que el sistema de reserva no cuenta con filtros para evitar la suplantación de identidades reconocibles.

¿Por qué es importante?

La función de nombres de usuario prometía mayor privacidad al reducir la exposición del número telefónico. Sin embargo, estos incidentes revelan un riesgo inmediato: la suplantación de identidad. Si un estafador reserva el nombre de un banco o una empresa de transporte, puede hacerse pasar por ellos y engañar a usuarios para obtener datos sensibles o dinero. La confianza depositada en un nombre familiar puede ser explotada, especialmente en un país como India, donde WhatsApp es el principal medio de comunicación, con más de 500 millones de usuarios activos. Según datos de la empresa de ciberseguridad Kaspersky, India es uno de los países con mayor incidencia de fraudes en mensajería, con un 40% de usuarios reportando haber recibido mensajes fraudulentos. La suplantación a través de nombres de usuario añade una capa de legitimidad que puede aumentar la tasa de éxito de los ataques de phishing.

Consecuencias y reacciones

El gobierno de India, a través del Ministerio de Electrónica y Tecnología de la Información (MeitY), ha enviado una notificación a WhatsApp solicitando que detenga el despliegue hasta que se realicen consultas sobre los riesgos de suplantación. El ministro Rajeev Chandrasekhar declaró a TechCrunch: 'No permitiremos que los nombres de usuario se conviertan en una herramienta para el fraude. WhatsApp debe implementar medidas de verificación antes de lanzar esta función a gran escala'. Meta, la empresa matriz, aún no ha respondido públicamente. Este caso se suma a otros incidentes de suplantación en plataformas de mensajería, como los fraudes bancarios en SMS y llamadas, pero ahora con una capa adicional de legitimidad al usar un nombre oficial de la plataforma. En 2023, la Reserva de India emitió una alerta sobre estafas en WhatsApp donde suplantaban a bancos, y en 2024, la empresa de seguridad CloudSEK reportó un aumento del 300% en casos de suplantación de identidad en aplicaciones de mensajería. La ausencia de un sistema de verificación para nombres de usuario podría exacerbar este problema.

“La nueva forma de identificarnos también se convierte en una nueva forma de reconocernos. Y cuando ese identificador recuerda al de una empresa, la línea que separa una identidad legítima de una falsa puede resultar menos evidente.” — Xataka

Changpeng Zhao, fundador de Binance, tuiteó: 'No pude conseguir mi propio nombre de usuario en WhatsApp. Alguien más lo tomó. Esto es un problema de seguridad'. Su tuit generó más de 10,000 interacciones en X, evidenciando la preocupación pública.

¿Qué deben saber los lectores?

• No confíes solo en el nombre de usuario: Verifica siempre la identidad del contacto a través de otros medios, especialmente si te pide información sensible. Por ejemplo, si recibes un mensaje de 'rbi_verify' solicitando datos bancarios, contacta directamente al banco por canales oficiales.
• Activa la verificación en dos pasos: Añade una capa extra de seguridad a tu cuenta de WhatsApp para evitar que te suplanten a ti. Según WhatsApp, esta función reduce el riesgo de acceso no autorizado en un 99%.
• Reporta perfiles sospechosos: Si encuentras un nombre de usuario que claramente suplanta a una entidad legítima, repórtalo a WhatsApp a través de la opción 'Reportar contacto' o enviando un correo a security@whatsapp.com.
• Mantente informado: Sigue las actualizaciones de seguridad de WhatsApp y las noticias sobre posibles estafas. Puedes consultar el Centro de Ayuda de WhatsApp para conocer las últimas funciones de seguridad.

Contexto y comparaciones

Este no es un problema nuevo. En plataformas como Twitter (X) o Instagram, la suplantación de cuentas verificadas ha sido recurrente, aunque con sistemas de verificación como el check azul. WhatsApp carece de un sistema de verificación para nombres de usuario, lo que facilita el abuso. La situación recuerda a los primeros días de los nombres de dominio, cuando ciberokupas registraban marcas famosas para revenderlas o estafar. Por ejemplo, en la década de 1990, se registraron dominios como 'mcdonalds.com' por especuladores antes de que la empresa pudiera hacerlo. Meta deberá implementar medidas como verificación de identidad para entidades oficiales o un proceso de reclamación de nombres. Twitter (X) implementó un sistema de verificación de cuentas azules para combatir la suplantación, pero incluso ese sistema ha sido criticado por permitir cuentas verificadas falsas tras el cambio a Twitter Blue. WhatsApp podría adoptar un enfoque similar, pero con controles más estrictos, como exigir documentos oficiales para nombres de empresas o figuras públicas. Además, el contexto regulatorio en India es relevante: el gobierno ha presionado a WhatsApp para que cumpla con las leyes de trazabilidad y seguridad, y este incidente podría acelerar la exigencia de medidas antisuplantación. La consultora Gartner advierte que la suplantación en aplicaciones de mensajería podría costar a las empresas globales 1.5 mil millones de dólares en fraudes para 2027, si no se implementan controles adecuados.