Meta lanzó la reserva de aliases para su plataforma de mensajería más popular, pero la ausencia de verificación de identidad ya generó alarmas entre especialistas en ciberseguridad y motivó la intervención formal de reguladores en uno de sus principales mercados.
WhatsApp está a punto de incorporar una de las funciones más demandadas de los últimos años: la posibilidad de identificarse con un nombre de usuario en lugar del número de teléfono. La medida apunta a reforzar la privacidad —un usuario podría iniciar o recibir conversaciones sin exponer su número a desconocidos— y acercar la experiencia de la plataforma a la de otras aplicaciones de mensajería, como Telegram, que ya cuentan con este mecanismo desde hace tiempo.
Sin embargo, la función llega con una grieta que los expertos en ciberseguridad no tardaron en señalar: los nombres de usuario en WhatsApp no implican ningún tipo de verificación de identidad. Eso significa que cualquier persona puede registrar un alias visualmente similar al de un banco, un organismo público o una figura pública, y usarlo para operar como si fuera esa entidad. El problema no es nuevo en el ecosistema digital, pero la escala de WhatsApp —más de dos mil millones de usuarios activos en el mundo— le da una dimensión distinta.
Cómo funciona el nuevo sistema
A partir de la apertura de reservas iniciada esta semana, los usuarios de WhatsApp pueden elegir un identificador único de entre cinco y veinticuatro caracteres alfanuméricos. Ese alias podrá ser compartido para iniciar conversaciones sin revelar el número de teléfono, que continuará siendo el identificador principal de la cuenta a nivel técnico.
Meta también habilitó la opción de reclamar el mismo nombre de usuario que el titular ya utiliza en Instagram o Facebook, con el objetivo de mantener una identidad coherente dentro del ecosistema de sus plataformas. El lanzamiento definitivo de la función está previsto para finales de 2026, pero las reservas ya están disponibles en varios mercados.
El núcleo del problema: apariencia sin respaldo
El riesgo principal no reside en la función en sí misma, sino en la percepción que puede generar en usuarios no especializados. Cuando alguien recibe un mensaje desde una cuenta identificada como @bancogalicia o @afip.consultas, la tendencia natural es asumir que esa cuenta pertenece efectivamente a esa institución. En la práctica, ese supuesto puede ser completamente falso.Los ciberdelincuentes no necesitan hackear nada: basta con registrar un nombre parecido —una letra diferente, un guion adicional, un número al final— para construir una identidad con apariencia de legitimidad. Desde ahí, el camino hacia el phishing, la solicitud de datos personales o las transferencias fraudulentas es corto.
Este tipo de ataque se conoce como typosquatting cuando se aplica a dominios web, pero el mismo principio funciona con cualquier sistema de identificación basado en texto sin verificación. La diferencia con el entorno de WhatsApp es que el canal de mensajería genera un nivel de confianza más alto que un correo electrónico o un sitio web desconocido: los usuarios ya están habituados a recibir mensajes de empresas y servicios por esta vía.
Los primeros casos y la respuesta regulatoria
Las señales de alerta aparecieron antes de que la función siquiera estuviera disponible de forma general. En India —el mercado más grande de WhatsApp a nivel global—, apenas habilitadas las reservas comenzaron a registrarse casos de usuarios que se adelantaron a registrar nombres asociados con políticos, celebridades y figuras del sector tecnológico.
Uno de los casos más resonantes fue el del fundador de Binance, Changpeng Zhao, quien reveló públicamente que no pudo registrar el alias @cz_binance —el mismo que usa en X— porque ya había sido tomado por otra persona. El incidente, aunque no necesariamente fraudulento, ilustra con claridad el escenario que preocupa a los especialistas.
La situación motivó una respuesta institucional. El Ministerio de Electrónica y Tecnología de la Información de India (MeitY) envió una advertencia formal a Meta solicitando que no avance con el despliegue masivo de la función hasta completar una evaluación legal exhaustiva y analizar el impacto potencial sobre la seguridad de los usuarios. El organismo expresó su preocupación por el riesgo de que la nueva herramienta facilite la suplantación de individuos, autoridades, instituciones financieras y agencias gubernamentales.
Qué hizo Meta hasta ahora
Frente a las críticas, Meta indicó que ya implementó algunas medidas preventivas: reserva de forma proactiva los nombres asociados a figuras públicas y organismos, y mantiene ciertas variantes protegidas. No obstante, la compañía no precisó los criterios exactos que definen qué nombres quedan bajo esa protección ni cómo funciona el proceso de reclamo en caso de disputas.
La empresa también señaló que continuará recibiendo retroalimentación de especialistas en ciberseguridad y reguladores antes del lanzamiento definitivo. Es, en términos prácticos, un reconocimiento de que el sistema todavía no está completamente resuelto desde el punto de vista de la seguridad.
Las implicancias para América Latina
En la región, WhatsApp es la aplicación de mensajería dominante y, al mismo tiempo, uno de los canales más utilizados para la comunicación entre empresas y clientes, incluyendo bancos, organismos de salud, e-commerce y servicios gubernamentales. Esa doble condición —herramienta cotidiana y canal oficial de atención— es precisamente lo que convierte al sistema de nombres de usuario en un vector de riesgo elevado.
Los esquemas de fraude financiero a través de mensajería instantánea ya son frecuentes en Argentina, Brasil, México y Colombia. La introducción de aliases sin verificación agrega una capa de credibilidad potencial a esos engaños: un mensaje que llega desde @banco.clientes se verá más convincente que uno proveniente de un número desconocido.
Qué pueden hacer los usuarios
Mientras Meta ajusta los mecanismos de seguridad de la función, los especialistas recomiendan algunas prácticas concretas para reducir la exposición al riesgo. Ante cualquier mensaje inesperado que solicite datos personales, credenciales de acceso o transferencias de dinero, la recomendación es verificar la identidad del remitente por un canal oficial —el sitio web de la institución, una línea telefónica publicada— antes de responder o seguir cualquier enlace.
También es aconsejable activar la verificación en dos pasos dentro de WhatsApp, mantener la aplicación actualizada y no compartir nunca el código de verificación que la plataforma envía por SMS, independientemente de quién lo solicite.
El nombre de usuario es una mejora real en términos de privacidad. Pero la privacidad y la seguridad son dimensiones distintas: proteger el número de teléfono no garantiza protección frente a quien construye una identidad falsa para explotarla. Esa distinción es la que los usuarios necesitan incorporar antes de que la función esté disponible de forma masiva.
