Esta semana, WhatsApp comenzó a implementar la reserva de nombres de usuario antes de su lanzamiento general, previsto para finales de este año. Esta función —que permite a las personas encontrarse y enviarse mensajes mediante un identificador en lugar de un número de teléfono— ya está generando inquietud sobre la suplantación de identidad y atrayendo el escrutinio de expertos en seguridad y reguladores de la India, el mayor mercado de la aplicación, con más de 500 millones de usuarios.

El despliegue marca un cambio en la forma en que las personas se identifican entre sí en WhatsApp. En lugar de depender de los números de teléfono como identificador principal, los usuarios interactuarán cada vez más a través de nombres de usuario gestionados por la plataforma; un cambio que, según Meta, mejora la privacidad, pero que los críticos argumentan podría crear nuevas oportunidades para la suplantación de identidad.

En pruebas iniciales, descubrimos que aún era posible reservar nombres de usuario que imitaban a políticos destacados, celebridades, figuras empresariales e instituciones públicas —tales como «indiamodi», «shahrukh.actor», «teamamitabh», «ambanijio» y «rbi_verify»—. Estos hacen referencia, respectivamente, al primer ministro indio Narendra Modi; a los actores de Bollywood Shah Rukh Khan y Amitabh Bachchan; a Jio, la compañía de telecomunicaciones del multimillonario Mukesh Ambani; y al Banco de la Reserva de la India. Por otro lado, el fundador de Binance, Changpeng Zhao, comentó en X que no pudo reservar «cz_binance», el identificador que ya utiliza en dicha plataforma.

Al ser consultada sobre cómo protege a los usuarios frente a la suplantación de identidad, Meta declaró que reserva nombres de usuario correspondientes a figuras públicas, entidades gubernamentales y «algunas variantes» de dichos nombres, de modo que solo el titular legítimo pueda reclamarlos. Sin embargo, la empresa no explicó los criterios que utiliza para decidir qué nombres de usuario similares se reservan de forma proactiva y cuáles no.

Estas preocupaciones ya han llegado a los reguladores de la India, donde las tramas de ciberfraude suelen aprovechar las plataformas de mensajería para suplantar a la policía, a bancos y a funcionarios gubernamentales.

En una notificación enviada a WhatsApp el miércoles, el Ministerio de Electrónica y Tecnología de la Información (MeitY) señaló que esta función podría «aumentar considerablemente la incidencia de fraudes en línea, *phishing*, estafas de ‘detención digital’ y ataques de suplantación de identidad», al permitir que actores malintencionados contacten a los usuarios sin revelar sus números de teléfono.

El ministerio también advirtió que los nombres de usuario podrían facilitar la suplantación de «personas, autoridades públicas, instituciones financieras y organismos gubernamentales», al permitir el uso de identificadores muy similares a los de personas u organizaciones auténticas. Se ordenó a WhatsApp que explicara por qué no deberían iniciarse medidas regulatorias en virtud de las leyes de tecnología de la información (TI) de la India, y se solicitó a la empresa que no lanzara la función hasta que finalizaran las consultas.

Por otra parte, un alto funcionario del gobierno declaró que el Ministerio de TI de la India está al tanto del asunto y mantiene conversaciones con WhatsApp sobre dicha función.

Esta intervención ha suscitado críticas por parte de la Internet Freedom Foundation (IFF), un grupo de defensa de los derechos digitales con sede en Nueva Delhi, que afirmó que la notificación carecía de una base legal clara y corría el riesgo de otorgar al poder ejecutivo amplias facultades para dictar el diseño de productos. (Es un dilema que conocen bien los operadores que desarrollan servicios en mercados regulados: es más difícil planificar en torno a normas establecidas caso por caso y mediante comunicaciones escritas que frente a normas formuladas públicamente).

«La suplantación de identidad y el fraude son riesgos reales, pero se combaten aplicando la legislación penal contra quienes los cometen», señaló el grupo en un comunicado. «No se combaten permitiendo que el MeitY decida, en privado y por escrito, qué funciones pueden utilizar los ciudadanos indios».

El debate recuerda a una observación similar realizada por el Tribunal Superior de Delhi en un caso relacionado con Telegram, en el que se señaló que el uso de nombres de usuario en lugar de números de teléfono podría facilitar la ocultación de la identidad del usuario y la rápida difusión de contenido ilícito. Aunque aquel caso no afectaba a WhatsApp, el paralelismo ha resurgido en el debate público a medida que la aplicación prepara su propio lanzamiento.

Privacidad, confianza y poder de la plataforma.

Rachel Tobac, directora ejecutiva de SocialProof Security, calificó los nombres de usuario como una mejora neta para la privacidad, ya que reducen la necesidad de compartir números de teléfono, lo cual puede exponer a los usuarios a ataques de duplicación de tarjeta SIM (*SIM-swapping*), *phishing* y usurpación de cuentas. No obstante, advirtió que los nombres de usuario muy similares entre sí siguen generando oportunidades para la suplantación de identidad.

«En última instancia, los nombres de usuario son una excelente idea para evitar revelar el número de teléfono a personas desconocidas, pero también es importante verificar la identidad al utilizar esta función», declaró Tobac.

Su consejo para la mayoría de los usuarios es elegir un nombre de usuario que no sea fácil de adivinar; de este modo, resulta más difícil para los atacantes localizarle, enviarle mensajes no solicitados, acosarle o bombardearle con *spam*.

Incluso WhatsApp reconoce que los nombres de usuario no son una solución universal. En una sección de preguntas frecuentes publicada el miércoles en X, la empresa indicó que la mayoría de los usuarios debería elegir un nombre de usuario exclusivo para WhatsApp. Sin embargo, también permite a los usuarios reclamar sus nombres de usuario existentes de Instagram o Facebook vinculando sus cuentas; la compañía afirma que esta opción busca ayudar a creadores, empresas y organizaciones a mantener una identidad coherente en las plataformas de Meta, al tiempo que reduce la suplantación de identidad.

La Fundación Mozilla señaló que la introducción de nombres de usuario probablemente conlleve nuevos inconvenientes. «El aumento de las estafas y la suplantación de identidad mediante nombres de usuario falsos es un riesgo importante», declaró. «Verificar el número de teléfono puede ser una herramienta de validación útil, pero estos problemas también se ven facilitados por las decisiones de diseño fundamentales de la plataforma».

Mozilla también planteó una cuestión más amplia sobre la interoperabilidad, un aspecto a tener en cuenta si se está desarrollando algo sobre el ecosistema de Meta o compitiendo con él. Si bien permitir que los usuarios utilicen sus nombres de usuario actuales de Facebook e Instagram podría reducir la suplantación de identidad, también pone de manifiesto la facilidad con la que Meta puede vincular identidades entre sus propias aplicaciones, a pesar de que los usuarios siguen sin poder trasladar dicha identidad —ni sus contactos— a una plataforma rival.

Por ahora, WhatsApp afirma que está adoptando un enfoque gradual para el lanzamiento. «Nos estamos tomando nuestro tiempo y escuchando las opiniones de los usuarios para asegurarnos de hacerlo bien cuando se lance a finales de este año», indicó la empresa en su sección de preguntas frecuentes.