WhatsApp a anunțat acum câteva zile o funcție mult așteptată: usernames, adică nume de utilizator care înlocuiesc numărul de telefon în conversații. Ideea suna bine pe hârtie - mai multă confidențialitate, mai puțin risc că îți scapă numărul la străini. Numai că, aproape imediat după anunț, cercetătorii de securitate au ridicat un semnal de alarmă serios: funcția vine cu un defect de impersonare care poate fi exploatat chiar acum.

Conform TechCrunch, problema centrală e că WhatsApp nu blochează suficient crearea de usernames care imită vizual pe cele ale altor utilizatori. Deși platforma permite doar litere mici și cifre, un actor rău intenționat poate alege combinații foarte apropiate de username-ul unei persoane de încredere - un prieten, un coleg de muncă, sau chiar reprezentantul unui brand. Diferența dintre cele două username-uri există, dar poate fi ușor trecută cu vederea la o citire rapidă.

Acest tip de vulnerabilitate nu e nou în lumea digitală - a fost exploatat ani de zile în domenii web pentru phishing - dar apariția lui în WhatsApp are un impact amplificat. Aplicația numără peste trei miliarde de utilizatori activi lunar, iar nivelul de încredere acordat contactelor din aplicație e în general ridicat. Oamenii sunt obișnuiți să verifice numărul de telefon înainte de a răspunde unui mesaj suspect; cu usernames, această verificare devine mai puțin intuitivă.

Scenarul de escrocherie e simplu și eficient: atacatorul creează un username aproape identic cu cel al șefului tău, al băncii tale sau al unui prieten apropiat, te contactează pe WhatsApp și îți cere o acțiune urgentă - un transfer bancar, date de logare, sau un cod de verificare. Fără obișnuința de a inspecta username-ul cu atenție, șansa să cazi în capcană e considerabilă.

Ce face această situație și mai îngrijorătoare este contextul lansării. WhatsApp a promovat usernames ca un pas înainte pentru confidențialitate - nu mai trebuie să îți dai numărul de telefon oricui vrei să comunici. Această narativă a crescut apetitul de adoptare, tocmai în momentul în care vulnerabilitatea e activă și insuficient adresată. De menționat că deocamdată sunt deschise doar rezervările de usernames, iar funcționalitatea completă urmează să fie lansată gradual mai târziu în 2026.

Rachel Tobac de la SocialProof Security a atras atenția, citată de TechCrunch, că platforma ar trebui să pună accent pe verificarea robustă a identității utilizatorilor înainte de extinderea funcției. Absența unor măsuri clare în această privință, pe o platformă de miliarde de utilizatori, ridică întrebări serioase despre procesul intern de testare de securitate al Meta.

Ce poți face concret acum: în primul rând, verifică întotdeauna numărul de telefon asociat unui contact înainte de a răspunde unor cereri sensibile, chiar dacă username-ul pare familiar. În al doilea rând, activează verificarea în doi pași în setările WhatsApp - nu te protejează de impersonare, dar reduce impactul dacă cineva obține acces la contul tău. În al treilea rând, fii suspicios față de orice mesaj care creează urgență și cere date personale sau financiare, indiferent de cine pare să vină.

Meta a declarat pentru TechCrunch că rezervă usernames pentru figuri publice și variații ale acestora, și a anunțat pentru CNBC că lucrează la măsuri anti-impersonare. Rămâne de văzut dacă aceste măsuri vor fi implementate rapid sau dacă usernames vor funcționa o perioadă cu acest defect activ. S-ar putea ca presiunea publică și acoperirea media să accelereze soluțiile, dar până atunci prudența e singura apărare reală. O funcție lansată să îți protejeze confidențialitatea a devenit, paradoxal, un nou vector de atac.