Ấn Độ yêu cầu WhatsApp giải trình và tạm dừng rollout tính năng username
"India's Ministry of Electronics and Information Technology has ordered WhatsApp to explain its planned usernames feature within three days and to pause the rollout pending approval, citing concerns that hiding phone numbers could increase impersonation, phishing, and other cybercrime. WhatsApp says usernames are not yet live and that it has added anti-scam controls such as exact-username matching, contact limits, repeated-guess blocking, and impersonation detection; no CVE is mentioned."
Tác động bảo mật đáng kể do nguy cơ impersonation và phishing tăng khi che số điện thoại; cơ quan quản lý yêu cầu tạm dừng rollout để đánh giá kiểm soát rủi ro.
Có thể ảnh hưởng tiến độ triển khai sản phẩm tại thị trường lớn, làm phát sinh chi phí tuân thủ và điều chỉnh kế hoạch phát hành; tuy nhiên WhatsApp cho biết tính năng chưa live và sẽ triển khai theo lộ trình.
Bộ Điện tử và Công nghệ Thông tin Ấn Độ (MeitY) đã yêu cầu WhatsApp giải trình trong 3 ngày sau thông báo triển khai toàn cầu tính năng usernames. Cơ quan này đồng thời yêu cầu tạm dừng rollout cho đến khi nhận được phê duyệt.
Theo MeitY, việc cho phép người dùng liên hệ ban đầu bằng username thay vì số điện thoại có thể làm gia tăng rủi ro phishing và các hình thức lừa đảo như “digital arrest scams”. MeitY đặc biệt lo ngại kịch bản giả mạo (impersonation) khi kẻ tấn công mạo danh cơ quan công quyền, tổ chức tài chính hoặc bộ/ngành nhà nước. MeitY viện dẫn Information Technology Act 2000 và Intermediary Guidelines and Digital Media Ethics Code Rules 2021.
Phía WhatsApp cho biết tính năng chưa được bật rộng rãi; khi người dùng nhắn tin lần đầu qua username, hệ thống sẽ hiển thị ngữ cảnh như tài khoản mới, quan hệ danh bạ/nhóm chung và khác quốc gia. WhatsApp cũng nêu các biện pháp chống lạm dụng như exact-username matching, giới hạn số người có thể liên hệ, chặn đoán lặp lại, và phát hiện hành vi giả mạo.
Khuyến nghị: doanh nghiệp cần rà soát chính sách xác thực danh tính, tăng cường cảnh báo người dùng về impersonation, và theo dõi lưu lượng/biểu hiện tấn công lừa đảo sau khi tính năng được bật.