Nomi utente WhatsApp: scatta l’allarme impersonificazione.
WhatsApp introduce gli username: tra promesse di privacy e l’allarme frodi in India
WhatsApp ha avviato questa settimana la fase di prenotazione degli username, in vista di un lancio più ampio previsto entro la fine dell’anno. La funzionalità, che consentirà agli utenti di trovarsi e inviarsi messaggi tramite un "handle" anziché il numero di telefono, sta già sollevando preoccupazioni per il rischio di impersonificazione, attirando l’attenzione di esperti di sicurezza e regolatori in India, il mercato più grande dell’app con oltre 500 milioni di utenti.
Questa implementazione segna un cambiamento significativo nel modo in cui le persone si identificheranno su WhatsApp. Invece di affidarsi ai numeri di telefono come identificatore primario, gli utenti interagiranno sempre più attraverso username gestiti dalla piattaforma. Meta, la società madre di WhatsApp, afferma che questa modifica migliora la privacy, ma i critici sostengono che potrebbe creare nuove opportunità per frodi e impersonificazioni.
Nei test iniziali, TechCrunch ha scoperto che username che assomigliavano a figure politiche di spicco, celebrità, uomini d’affari e istituzioni pubbliche – tra cui "indiamodi", "shahrukh.actor", "teamamitabh", "ambanijio" e "rbi_verify" – erano ancora disponibili per la prenotazione. Questi si riferiscono rispettivamente al Primo Ministro indiano Narendra Modi, agli attori di Bollywood Shah Rukh Khan e Amitabh Bachchan, alla compagnia di telecomunicazioni Jio del miliardario Mukesh Ambani e alla Reserve Bank of India. Separatamente, il fondatore di Binance, Changpeng Zhao, ha dichiarato su X di non essere riuscito a prenotare "cz_binance", l’handle che utilizza già su quella piattaforma.
Interrogata su come intenda proteggere contro l’impersonificazione, Meta ha dichiarato a TechCrunch di riservare gli username per personaggi pubblici, enti governativi e "alcune varianti" di tali nomi, in modo che solo il legittimo proprietario possa rivendicarli. Tuttavia, la società non ha spiegato come decida quali username simili vengano riservati proattivamente e quali no.
Le preoccupazioni hanno già raggiunto i regolatori in India, dove le truffe informatiche spesso sfruttano le piattaforme di messaggistica per impersonare polizia, banche e funzionari governativi. In una notifica inviata a WhatsApp mercoledì e visionata da TechCrunch, il Ministero dell’Elettronica e della Tecnologia dell’Informazione (MeitY) ha affermato che la funzionalità potrebbe "aumentare materialmente l’incidenza di frodi online, phishing, truffe dell’arresto digitale e attacchi di impersonificazione" consentendo ad attori malintenzionati di contattare gli utenti senza esporre i loro numeri di telefono.
Il ministero ha anche avvertito che gli username potrebbero facilitare l’impersonificazione di "individui, autorità pubbliche, istituzioni finanziarie e agenzie governative" permettendo l’uso di username molto simili a quelli di persone o organizzazioni autentiche. Ha intimato a WhatsApp di spiegare perché non dovrebbero essere avviate azioni regolatorie ai sensi delle leggi IT indiane e ha chiesto all’azienda di non implementare la funzionalità fino al completamento delle consultazioni. Un alto funzionario governativo ha dichiarato separatamente a TechCrunch che il ministero IT indiano è consapevole del problema e sta dialogando con WhatsApp sulla funzionalità.
Questo intervento ha suscitato a sua volta una reazione da parte del gruppo per i diritti digitali Internet Freedom Foundation (IFF) con sede a Nuova Delhi, che ha affermato che la notifica mancava di una chiara base legale e rischiava di conferire all’esecutivo ampi poteri per dettare la progettazione dei prodotti. L’IFF ha dichiarato in un comunicato: "L’impersonificazione e le frodi sono rischi reali, ma vengono affrontati applicando il diritto penale contro coloro che li commettono. Non vengono affrontati con il MeitY che decide, in privato e per lettera, quali funzionalità gli indiani possono utilizzare."
Il dibattito riecheggia un’osservazione simile fatta dalla Delhi High Court in un caso che coinvolgeva Telegram, dove il tribunale affermò che l’uso di username anziché numeri di telefono avrebbe potuto rendere più facile nascondere l’identità dell’utente e diffondere contenuti illeciti più rapidamente. Sebbene quel caso non riguardasse WhatsApp, il parallelo è riemerso nella discussione pubblica mentre WhatsApp prepara il suo lancio.
Rachel Tobac, CEO di SocialProof Security, ha definito gli username un guadagno netto per la privacy perché riducono la necessità di condividere i numeri di telefono, che possono esporre gli utenti ad attacchi di SIM swapping, phishing e acquisizioni di account. Tuttavia, ha sottolineato che gli username "lookalike" creano comunque opportunità di impersonificazione. Il suo consiglio per la maggior parte degli utenti è di scegliere un username non facilmente indovinabile, per rendere più difficile agli aggressori trovarli e molestarli.
Anche WhatsApp riconosce che gli username non saranno una soluzione unica per tutti. In una FAQ pubblicata su X, l’azienda ha affermato che la maggior parte degli utenti dovrebbe scegliere un username unico per WhatsApp, ma consente anche di rivendicare username esistenti su Instagram o Facebook collegando gli account. Questa opzione è pensata per aiutare creatori, aziende e organizzazioni a mantenere un’identità coerente attraverso le piattaforme di Meta, riducendo al contempo l’impersonificazione.
La Mozilla Foundation ha dichiarato che l’introduzione degli username probabilmente porterà a nuovi compromessi. "L’aumento di truffe e impersonificazioni da parte di handle falsi è potenzialmente un problema importante", ha dichiarato a TechCrunch. Mozilla ha anche sollevato una questione più ampia di interoperabilità: sebbene consentire agli utenti di rivendicare i loro username esistenti su Facebook e Instagram possa ridurre l’impersonificazione, mostra anche quanto facilmente Meta possa unire l’identità attraverso le proprie app, anche se gli utenti non possono ancora portare quell’identità, o i loro contatti, su una piattaforma rivale. Per ora, WhatsApp afferma di adottare un approccio graduale all’implementazione. "Ci stiamo prendendo il nostro tempo e ascoltando i feedback in modo che, quando verrà lanciato entro la fine dell’anno, faremo le cose per bene", ha dichiarato l’azienda nella sua FAQ.