WhatsApp sta cambiando il modo in cui le persone si trovano e si contattano. Per gli utenti è una buona notizia per la privacy; per aziende e team sicurezza è invece il momento di bloccare subito username, account Meta collegati e processi anti-truffa.
WhatsApp username: cosa cambia davvero
WhatsApp sta introducendo la possibilità di riservare uno username prima del lancio completo della funzione. Quando sarà attiva, le persone potranno scriverti senza conoscere il tuo numero di telefono e, al primo contatto, il tuo numero non verrà mostrato. Non esiste una directory pubblica e non ci sono suggerimenti di ricerca: per contattare qualcuno servirà conoscere esattamente l’handle.
Per gli utenti, questo passaggio è un miglioramento concreto: separa la scoperta del contatto dal numero di telefono, che resta uno degli identificatori più esposti e più utili per la profilazione. Per le organizzazioni, però, la novità apre una nuova superficie di rischio, perché le username possono diventare un canale di impersonificazione di marchi, dirigenti e reparti aziendali.
Perché la privacy migliora
Il numero di telefono è sempre stato il punto debole strutturale di WhatsApp. Quando un identificatore è facile da raccogliere o associare a un account, diventa più semplice costruire liste, fare correlazioni e colpire utenti con messaggi mirati. Con le username, almeno in parte, questo legame si indebolisce.
Il vantaggio per le persone comuni è immediato: non serve più condividere il numero per essere contattati. Questo riduce l’esposizione del dato e rende meno facile associare un account a un numero reale, soprattutto nei primi scambi.
La scelta di non introdurre una directory e di non offrire suggerimenti automatici è rilevante. Impedisce una ricerca libera dei profili e limita la possibilità di esplorare in massa handle simili, come accade invece su altre piattaforme.
Dove nasce il rischio per aziende e dirigenti
La stessa caratteristica che tutela la privacy degli utenti rende più semplice l’impersonificazione. Se un attaccante riesce a riservare un nome simile a quello di un brand o di un dirigente, può usarlo per apparire credibile in conversazioni dirette, soprattutto se la vittima non ha più il numero come segnale di verifica immediata.
I rischi principali sono tre:
- Squatting del nome esatto: un malintenzionato blocca il nome del brand o del dirigente prima dell’azienda.
- Typosquatting e lookalike: l’username imita quello reale con piccole variazioni, come lettere sostituite, punti, underscore o trasposizioni.
- Handle executive-adjacent: profili costruiti per sembrare appartenenti a CEO, CFO, HR o supporto clienti.
Su una piattaforma di massa, il problema non è teorico. Più utenti iniziano a usare le username, più cresce il valore del nome giusto. E dove c’è scarsità, arrivano anche rivendita, abuso e phishing.
Il vero punto debole resta il numero di telefono
Le username cambiano il modo in cui avviene il primo contatto, ma non sostituiscono l’account. Il numero di telefono resta l’ancora del profilo, quindi i meccanismi di takeover legati alla SIM, al recupero dell’account e alla sicurezza del dispositivo restano centrali.
Questo significa che la protezione più efficace non cambia:
- attivare l’autenticazione aggiuntiva disponibile;
- proteggere il numero telefonico associato;
- mettere in sicurezza gli account Meta collegati;
- limitare gli amministratori con accesso alle identità aziendali.
In altre parole, la username aggiunge un livello visibile sopra l’account, ma la struttura profonda rimane la stessa.
Perché la finestra di prenotazione è delicata
La fase di prenotazione anticipata crea urgenza, e l’urgenza è sempre un alleato del phishing. Quando una piattaforma invita gli utenti a “bloccare il proprio nome”, i truffatori imitano subito il messaggio e costruiscono finti portali, falsi avvisi e richieste di verifica.
Le campagne più probabili includono:
- siti fasulli che promettono di riservare username WhatsApp;
- smishing con messaggi che dicono che qualcuno sta tentando di prendere il tuo nome;
- email o notifiche false che chiedono di verificare subito l’account;
- falsi flussi di supporto che portano al furto del codice SMS e poi dell’intero account.
Il rischio non è solo perdere la username. Se la vittima consegna il codice di verifica, l’attaccante può arrivare al controllo completo dell’account WhatsApp e usarlo per frodi a catena.
Cosa devono fare subito le aziende
Le organizzazioni non dovrebbero aspettare il lancio completo. La fase migliore per agire è adesso, mentre il mercato dei nomi è ancora aperto e il rumore mediatico è già un’arma per i truffatori.
Le priorità operative sono queste:
- riservare i nomi del brand, dei prodotti e dei canali di supporto;
- riservare gli handle dei dirigenti e delle figure pubbliche più esposte;
- controllare e mettere in sicurezza gli account Instagram e Facebook collegati, perché possono diventare la via di accesso per rivendicare la username WhatsApp;
- limitare gli accessi amministrativi agli account Meta;
- aggiornare le policy interne di social protection e anti-impersonation;
- preparare un canale rapido per le segnalazioni di abuso e i takedown.
Se un’azienda già monitora domini, social profile e account di marca, WhatsApp deve entrare nello stesso perimetro di controllo. Non farlo significa lasciare un canale nuovo agli imitatori proprio nel momento in cui il pubblico si abitua a usarlo.
Come proteggere dirigenti e figure sensibili
I dirigenti sono un bersaglio privilegiato perché un messaggio credibile da parte loro può attivare pagamenti, condivisione di dati o azioni urgenti. Con le username, il rischio cresce perché il mittente non mostra più il numero in chiaro al primo contatto.
La difesa migliore è anticipare il problema:
- riservare username coerenti con nome e cognome;
- bloccare varianti plausibili, anche se il dirigente non userà mai l’account;
- includere il controllo delle username nel programma di protezione dei VIP;
- istruire executive assistant e team finance a verificare richieste insolite su un canale alternativo;
- definire una procedura di conferma per ordini urgenti, cambi di IBAN e richieste di credenziali.
Un handle inattivo costa poco. Un falso CFO, invece, può costare moltissimo.
Come riconoscere una truffa
Gli utenti devono imparare a diffidare di qualunque richiesta che sembri creare urgenza o chieda un’azione fuori dall’app. La regola semplice è questa: se ti chiedono di riservare la username tramite link, è sospetto.
Segnali tipici di truffa:
- richieste di verificare un nome “in scadenza”;
- messaggi che usano pressione temporale;
- URL che imitano WhatsApp o Meta;
- richieste di codice SMS o OTP;
- assistenza “ufficiale” che passa da un sito esterno.
Il flusso corretto resta dentro l’app, nelle impostazioni dell’account. Qualsiasi scorciatoia deve essere considerata ostile fino a prova contraria.
Impatto su brand protection e SOC
Per i team di sicurezza, la novità richiede un cambio di mentalità. Con le username non c’è una directory da scansionare in modo massivo, quindi molta della difesa sarà reattiva e dipenderà dalle segnalazioni degli utenti, del customer care e dei dipendenti.
Questo rende cruciali tre attività:
- aggiornare i playbook di incident response per includere WhatsApp;
- estendere le regole di monitoraggio alle varianti di handle e alle campagne di phishing collegate;
- preparare un flusso rapido tra SOC, legal, HR e team brand protection.
Il punto non è solo rilevare l’imitazione, ma ridurre il tempo tra il primo abuso e la rimozione del profilo fraudolento.
Cosa significa per gli utenti comuni
Per la maggior parte delle persone, la funzione è positiva. Rende più semplice comunicare senza esporre il numero e riduce una parte del rischio legato alla circolazione del dato personale.
Tuttavia, anche gli utenti non aziendali dovrebbero adottare alcune abitudini di base:
- scegliere una username difficile da imitare;
- non pubblicarla ovunque se non serve;
- verificare sempre l’identità del contatto prima di condividere dati o codici;
- attivare tutte le opzioni di sicurezza disponibili;
- ignorare richieste che arrivano da canali esterni all’app.
La privacy migliora, ma la prudenza resta necessaria.
Technical Deep Dive
Dal punto di vista tecnico, le username di WhatsApp spostano il problema dalla scoperta del contatto alla fiducia nel mittente. Questo è importante perché il numero di telefono funzionava, anche se in modo imperfetto, come segnale di verifica visibile nel primo scambio. Quando quel segnale scompare, il destinatario perde uno degli indizi più semplici per riconoscere un messaggio fuori contesto.
La nuova superficie di rischio non dipende solo dall’handle in sé, ma dal modo in cui viene combinato con altri elementi di persuasione: foto profilo, nome visualizzato, tono del messaggio, urgenza operativa e contesto aziendale. In pratica, il social engineering diventa più economico perché non richiede più un numero burner credibile o un prefisso internazionale sospetto.
Per i team difensivi, questo implica un cambiamento nei controlli. Le difese basate su enumerazione preventiva funzionano meno bene in assenza di una directory e di suggerimenti automatici. Di conseguenza, il modello di sicurezza più realistico è quello fondato su:
- prevenzione, tramite riserva anticipata degli handle;
- hardening degli account Meta collegati;
- gestione delle identità pubbliche e dei ruoli esposti;
- raccolta strutturata delle segnalazioni interne ed esterne;
- risposta rapida ai casi di impersonificazione.
Un altro punto tecnico cruciale è la relazione tra WhatsApp e l’ecosistema Meta. Se business e creator possono reclamare su WhatsApp lo stesso username già usato su Instagram o Facebook, la compromissione di uno di questi account può diventare un punto di appoggio per la frode cross-platform. Questo rende essenziale la protezione coerente di tutte le identità collegate, non solo del profilo WhatsApp.
Infine, la scelta di mantenere il numero di telefono come ancoraggio dell’account significa che il rischio di takeover non sparisce. La username riduce la visibilità del numero, ma non elimina la dipendenza dall’infrastruttura telefonica sottostante. Per questo la sicurezza del numero, la protezione contro il SIM swap e la verifica in due passaggi restano controlli fondamentali.
In sintesi tecnica, WhatsApp sta migliorando la privacy di discovery, ma sta anche introducendo un nuovo layer di reputazione digitale. Chi difende marchi, executive e clienti deve trattarlo come una piattaforma di impersonificazione appena nata, non come un semplice aggiornamento dell’interfaccia.
Fonte: https://socradar.io/blog/whatsapp-usernames-privacy-risks/
