WhatsApp a commencé cette semaine à déployer les réservations de noms d’utilisateur avant le lancement plus large prévu plus tard cette année. La fonctionnalité, qui permet aux utilisateurs de se retrouver et d’envoyer des messages par identifiant plutôt que par numéro de téléphone, soulève déjà des problèmes d’usurpation d’identité, attirant l’attention des experts en sécurité et des régulateurs en Inde, le plus grand marché de l’application, avec plus de 500 millions d’utilisateurs.
Le déploiement marque un changement dans la façon dont les gens s’identifient sur WhatsApp. Au lieu de s’appuyer sur les numéros de téléphone comme identifiant principal, les utilisateurs interagiront de plus en plus via des noms d’utilisateur gérés par la plateforme, un changement qui, selon Meta, améliore la confidentialité, mais qui, selon les critiques, pourrait créer de nouvelles opportunités d’usurpation d’identité.
Lors des premiers tests, TechCrunch a découvert que des noms d’utilisateur ressemblant à d’éminents politiciens, célébrités, personnalités du monde des affaires et institutions publiques – notamment « indiamodi », « shahrukh.actor », « teamamitabh », « ambanijio » et « rbi_verify » – étaient toujours disponibles à la réservation. Il s’agit respectivement du Premier ministre indien Narendra Modi, des acteurs de Bollywood Shah Rukh Khan et Amitabh Bachchan, de la société de télécommunications Jio du milliardaire Mukesh Ambani et de la Reserve Bank of India. Par ailleurs, le fondateur de Binance, Changpeng Zhao, a déclaré sur X qu’il ne pouvait pas réserver « cz_binance », le pseudo qu’il utilise déjà sur cette plateforme.
Interrogé sur la manière dont il protège contre l’usurpation d’identité, Meta a déclaré à TechCrunch qu’il réservait les noms d’utilisateur aux personnalités publiques, aux entités gouvernementales et à « certaines variantes » de ces noms afin que seul le propriétaire légitime puisse les revendiquer. La société n’a cependant pas expliqué comment elle décide quels noms d’utilisateur similaires sont réservés de manière proactive et lesquels ne le sont pas.
Les inquiétudes ont déjà atteint les régulateurs en Inde, où les systèmes de cyberfraude exploitent fréquemment les plateformes de messagerie pour usurper l’identité de la police, des banques et des représentants du gouvernement.
Dans un avis envoyé à WhatsApp mercredi et examiné par TechCrunch, le ministère de l’Électronique et des Technologies de l’information (MeitY) a déclaré que cette fonctionnalité pourrait « augmenter considérablement l’incidence de la fraude en ligne, du phishing, des escroqueries aux arrestations numériques et des attaques par usurpation d’identité » en permettant aux mauvais acteurs de contacter les utilisateurs sans exposer leurs numéros de téléphone.
Le ministère a également averti que les noms d’utilisateur pourraient faciliter l’usurpation d’identité « d’individus, d’autorités publiques, d’institutions financières et d’agences gouvernementales » en autorisant des noms d’utilisateur ressemblant étroitement à ceux de véritables personnes ou organisations. Il a demandé à WhatsApp d’expliquer pourquoi aucune mesure réglementaire ne devrait être prise en vertu des lois indiennes sur les technologies de l’information et a demandé à l’entreprise de ne pas déployer cette fonctionnalité tant que les consultations ne sont pas terminées.
Un haut responsable du gouvernement a déclaré séparément à TechCrunch que le ministère indien de l’informatique était conscient du problème et discutait avec WhatsApp sur cette fonctionnalité.
Cette intervention a suscité sa propre réaction de la part du groupe de défense des droits numériques Internet Freedom Foundation (IFF), basé à New Delhi, qui a déclaré que l’avis manquait de base juridique claire et risquait de donner à l’exécutif de larges pouvoirs pour dicter la conception des produits. (C’est un dilemme que les opérateurs qui construisent sur des marchés réglementés connaissent bien : les règles établies au cas par cas, par lettre, sont plus difficiles à planifier que les règles établies au grand jour.)
« L’usurpation d’identité et la fraude constituent des risques réels, mais ils peuvent être évités en appliquant le droit pénal à l’encontre de ceux qui les commettent », a déclaré le groupe dans un communiqué. « MeitY ne les satisfait pas en décidant, en privé et par lettre, des fonctionnalités que les Indiens peuvent utiliser. »
Le débat fait écho à une observation similaire faite par la Haute Cour de Delhi dans une affaire impliquant Telegram, où le tribunal a déclaré que l’utilisation de noms d’utilisateur au lieu de numéros de téléphone pourrait faciliter la dissimulation de l’identité de l’utilisateur et diffuser plus rapidement le contenu illicite. Cette affaire ne concernait pas WhatsApp, mais le parallèle a refait surface dans le débat public alors que WhatsApp prépare son propre lancement.
Confidentialité, confiance et puissance de la plateforme
Rachel Tobac, directrice générale de SocialProof Security, a qualifié les noms d’utilisateur de gain net en matière de confidentialité, car ils réduisent le besoin de partager des numéros de téléphone, ce qui peut exposer les utilisateurs à des attaques par échange de carte SIM, au phishing et aux piratages de comptes. Pourtant, a-t-elle déclaré, les noms d’utilisateur similaires créent toujours des opportunités d’usurpation d’identité.
« En fin de compte, les noms d’utilisateur sont une excellente idée pour éviter de divulguer votre numéro de téléphone à des personnes que vous ne connaissez pas, mais il est également important de vérifier votre identité avec la fonction de nom d’utilisateur », a déclaré Tobac à TechCrunch.
Son conseil pour la plupart des utilisateurs : choisissez un nom d’utilisateur qui n’est pas facile à deviner, afin qu’il soit plus difficile pour les attaquants de vous trouver, de vous envoyer des messages froids ou de vous harceler et de vous envoyer des spams.
Même WhatsApp reconnaît que les noms d’utilisateur ne seront pas universels. Dans une FAQ publiée sur X mercredi, la société a déclaré que la plupart des utilisateurs devraient choisir un nom d’utilisateur unique pour WhatsApp. Cependant, il permet également aux utilisateurs de revendiquer leurs noms d’utilisateur Instagram ou Facebook existants en reliant leurs comptes, affirmant que l’option est destinée à aider les créateurs, les entreprises et les organisations à maintenir une identité cohérente sur les plateformes Meta tout en réduisant l’usurpation d’identité.
La Fondation Mozilla a déclaré que l’introduction des noms d’utilisateur est susceptible d’entraîner de nouveaux compromis. « L’augmentation des escroqueries et des usurpations d’identité à partir de faux identifiants est potentiellement importante », a-t-il déclaré à TechCrunch. « La vérification d’un numéro de téléphone peut être un outil de vérification utile, mais ces préjudices sont également autorisés par les choix de conception fondamentaux de la plateforme. »
Mozilla a également signalé une question d’interopérabilité plus large – une question qui mérite d’être consignée si vous construisez sur l’écosystème de Meta ou si vous êtes en concurrence avec lui. Tout en permettant aux utilisateurs de revendiquer leurs noms d’utilisateur Facebook et Instagram existants, cela peut réduire l’usurpation d’identité, cela montre également avec quelle facilité Meta peut fusionner l’identité dans ses propres applications, même si les utilisateurs ne peuvent toujours pas transférer cette identité, ou leurs contacts, vers une plate-forme rivale.
Pour l’instant, WhatsApp affirme adopter une approche progressive du déploiement. « Nous prenons notre temps et écoutons les commentaires afin de pouvoir faire les choses correctement lors de son déploiement plus tard cette année », a déclaré la société dans sa FAQ.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
