Por que a Índia barrou os usernames do WhatsApp: o risco real entre a sua empresa e o cliente

Em 29 de junho de 2026, o WhatsApp abriu a reserva de nomes de usuário: o @. Primeiro a chegar, leva. Dois dias depois, em 1º de julho, o MeitY (ministério de TI da Índia) mandou a Meta não lançar o recurso no país até o fim de uma consulta regulatória, alegando risco de fraude, phishing e impersonação. Deu três dias de prazo, depois estendeu para 9 de julho. A Meta respondeu. Até o fechamento deste artigo o recurso segue parado na Índia, sem decisão final. Telegram e Signal receberam notificações parecidas.

A notícia é regulatória. O problema não é.

O problema é bem mais perto de você. Até hoje, quando o seu cliente recebia uma mensagem, ele tinha um jeito tosco mas funcional de conferir se era mesmo a sua empresa: o número. DDD estranho, foto genérica, contato criado ontem, salvo por ninguém. Dava para desconfiar. Com o @, esse sinal some da tela de quem recebe. E o que aparece no lugar é uma string curta que parece institucional por construção.

Ninguém precisa esperar decisão de regulador indiano para entender o que isso faz com a relação entre a sua empresa e o cliente dela. É disso que trata este artigo: onde o pânico erra, onde o risco é real, quem paga a conta e o que dá para fazer ainda esta semana.

O que muda na tela do seu cliente

O mecanismo em linguagem de negócio, porque quase todo o debate ignora ele:

Um detalhe pouco divulgado e bem útil: criadores, pequenos negócios e organizações podem reivindicar no WhatsApp o mesmo @ que já usam no Instagram ou no Facebook.

O argumento da Índia

Vale saber de quem veio a freada: a Índia é o maior mercado do WhatsApp no mundo, com estimativas públicas entre ~535 milhões e 850 milhões de usuários (veja a corrida de usuários por país). Quando ela trava um recurso, o cronograma global escorrega junto.

O MeitY sustentou que o recurso pode “aumentar materialmente a incidência de fraude online, phishing, golpes de prisão digital e ataques de impersonação”, por permitir que alguém aborde um usuário sem expor o próprio número. Pediu que a Meta explicasse por que não deveria haver medida regulatória sob as leis de TI indianas.

O argumento não nasceu no vácuo. Durante a janela de reserva, testes independentes mostraram que variações como indiamodi, rbi_verify, shahrukh.actor, teamamitabh e ambanijio continuavam disponíveis para qualquer um registrar, mesmo com a Meta afirmando que pré-reserva nomes de figuras públicas e “algumas variações”. A Meta nunca explicou o critério que separa a variação bloqueada da liberada.

Do outro lado, a Internet Freedom Foundation classificou a ofensiva como ilegal, por falta de base normativa clara para barrar um recurso de produto antes do lançamento. Vale registrar: é uma pausa amarrada a uma consulta, não uma proibição definitiva.

Onde o pânico está errado

O post viral que circulou nesta semana imagina handles como @SuporteItau sendo criados por criminosos e usados para pescar vítimas dentro do app. Quatro correções, porque agir pelo diagnóstico errado custa dinheiro nos dois sentidos: você gasta onde não precisa e fica exposto onde precisava.

1. Não existe diretório. Ninguém busca @ no WhatsApp. Sem busca, o fraudador não consegue descobrir vítimas dentro da plataforma. Ele precisa que a vítima já saiba o handle exato. Isso não é detalhe, é a diferença entre uma rede social e o WhatsApp.

2. O contato precisa partir de fora. Como consequência, o @ falso só funciona se for distribuído em outro lugar: anúncio patrocinado, SMS, e-mail, site clonado, bio de perfil falso. O gargalo do golpe continua sendo o mesmo de sempre, e ele não está dentro do WhatsApp.

3. Marca grande com nome exato está protegida. O @santanderbrasil puro não fica solto. O problema é a cauda longa e as variações, que é exatamente o que o teste indiano expôs.

4. O rastro não sumiu. O telefone continua obrigatório e vinculado à conta por trás. Numa investigação com ordem judicial, a âncora de identidade é a mesma de antes. Muda a velocidade, não a existência da pista.

Golpe bancário por WhatsApp já acontece hoje, em escala industrial, com número comum. Username não inventa esse crime.

Só que “não inventa” está longe de “não muda nada”.

O risco real: o que acontece entre você e o seu cliente

Quatro consequências. Nenhuma delas é a que viralizou, e todas caem no colo de quem atende cliente.

1. O seu cliente perde o único jeito que ele tinha de conferir. A campanha antifraude de banco, varejo e operadora foi construída em cima de uma frase: confira o número. Essa frase morre no dia em que o número some da tela do primeiro contato. Pior: ela morre sem substituto óbvio, porque @ bonito qualquer um consegue. O consumidor médio vai continuar aplicando a regra velha num cenário onde ela não vale mais, e o resultado disso é previsível.

2. O @ é um crachá, e crachá circula fora do WhatsApp. Hoje o golpista precisa exibir um número, e número é artefato inspecionável. O @ é uma string curta com cara de coisa oficial. @itau.atendimento transmite uma autoridade que +55 11 9xxxx-xxxx nunca transmitiu. A fraude não fica mais fácil de executar; fica mais fácil de vender para a vítima. É a diferença entre bater na porta de terno e bater de bermuda.

3. Você fica cego para quem se passa por você. Esta é a parte que ninguém comentou, e é a que muda orçamento. A mesma não-buscabilidade que protege o usuário cega o dono da marca. No Instagram, o seu time acha o perfil falso em dois minutos. No WhatsApp não existe diretório para varrer, não existe enumeração possível, não existe ferramenta de brand protection para contratar. Você descobre o impostor quando o cliente lesado reclama. A detecção deixa de ser proativa e vira reativa, e o custo migra de prevenção para contenção de crise.

4. A conta chega para você, não para a Meta. Quando o golpe usa o nome da sua empresa, quem responde é a sua empresa. Fila de suporte lotada, contestação de pagamento, reclamação pública, cliente exigindo estorno de algo que você não recebeu, e o pior de todos: o cliente que passa a desconfiar do canal inteiro e para de responder as suas mensagens legítimas. O dano não é o valor do golpe. É a taxa de resposta do seu canal caindo pela metade porque o cliente aprendeu a ter medo dele.

Repare que os quatro pontos têm o mesmo eixo: a relação de confiança entre a sua empresa e o cliente dela. O @ não cria fraude nova. Ele corrói o mecanismo barato que o consumidor usava para se defender e apaga o retrovisor que a marca usava para vigiar. Isso é suficiente para doer.

Nota curta para quem tem sistema. Se o seu CRM, ERP ou plataforma de atendimento identifica cliente só pelo número de telefone, existe trabalho técnico a fazer antes do rollout, porque o telefone pode não vir mais junto do contato. Está tudo no checklist de identidade sem telefone. O resto deste artigo é sobre a parte que não se resolve com código.

Matriz de risco

Onde investir atenção e orçamento, na visão de quem tem cliente do outro lado da conversa. Cada vetor posicionado por probabilidade e impacto, com quem absorve o custo quando dá errado.

Os mesmos dez vetores em tabela, com quem paga a conta e a mitigação. O número e a cor são os mesmos do gráfico acima:

Leitura dos quadrantes: o canto Agir agora concentra cinco vetores, e todos os cinco dependem de uma ação sua, não da Meta. O canto oposto, Plano de contingência, é onde moram exatamente os dois cenários que dominaram o debate público, impersonação de marca grande e pescaria por busca: alto estrago, baixíssima chance, já mitigados pela plataforma. Se a sua reação à notícia foi olhar para o canto superior esquerdo, você olhou para o lugar certo pelo motivo errado.

Repare também na coluna “quem absorve”. Nos cinco vetores do topo, o nome que aparece é sempre o mesmo: a marca, o cliente, ou os dois. A Meta não aparece em nenhum.

Como blindar a relação com o cliente

Quatro movimentos, nenhum deles técnico, todos possíveis antes de o recurso chegar ao Brasil.

Reserve o @ canônico e comunique só ele. Um handle oficial por marca, no número que atende cliente, não no celular de alguém. Toda comunicação da empresa usa aquele e nenhum outro. Marca que comunica três variações ensina o cliente a aceitar a quarta, que é a do golpista.

Publique uma página de canais oficiais. Uma URL no seu domínio listando o @, o número, o link wa.me, os perfis sociais e a frase que fecha a porta: fora daqui, não somos nós. Sem essa página, o cliente não tem onde conferir e você não tem como provar depois. Com ela, o desmentido é um link, não uma nota de crise.

Reescreva o roteiro antifraude. “Confira o número” acabou. O que sobra como sinal legítimo é conta comercial oficial e verificada, mais a conferência no canal canônico. Isso precisa estar no rodapé do e-mail, no atendimento, no aviso do app e na boca de quem fala com cliente. E precisa vir com uma regra de dinheiro explícita: como a sua empresa cobra, e como ela nunca cobra.

Crie um caminho de denúncia visível. Como você fica cego para o impostor, o seu detector passa a ser o cliente. Se reportar der trabalho, ele não reporta, e você descobre o problema pelo Reclame Aqui. Um formulário simples, um número para encaminhar print, uma resposta rápida. É a diferença entre saber em dois dias e saber em dois meses.

Para quem é agência, BSP ou vende CRM de WhatsApp: esses quatro itens são serviço vendável agora, com a carteira que você já atende, e a janela é curta por um motivo verdadeiro. Quando o rollout chegar ao Brasil, os nomes bons já terão dono e o trabalho deixa de ser preventivo para virar remediação. Remediação vale menos e frustra mais. E tem um argumento comercial embutido: quando o telefone some da tela, o sinal de confiança que sobra é conta comercial oficial e verificada, o que empurra o cliente para a via oficial e para a conta bem configurada. Vale entender os três caminhos do selo.

O checklist, por quem executa

O precedente que importa mais que o caso

O episódio indiano deixa três leituras, e nenhuma delas expira quando o MeitY decidir:

Onde o número sai, a identidade verificada entra, e ela custa. Se o telefone deixa de ser o identificador visível, o valor migra para conta oficial, selo e canal comprovável. Muda o que o cliente compra e o que você cobra: configurar identidade deixa de ser item de onboarding e vira produto.

Quem prometeu data queimou a promessa em 48 horas. Na Índia, o rollout parou dois dias depois de abrir. A lição é simples: venda o que já existe, trate o que vem como bônus.

O Brasil é candidato natural ao mesmo debate. Até agora não há aqui nenhuma medida equivalente à indiana. Mas com Pix atrelado ao celular, volume de golpe e sensibilidade regulatória crescente, a pergunta que um regulador brasileiro faria é exatamente a deste artigo: quem responde quando o @ não é de quem parece ser? Quem já tiver canal canônico publicado responde em uma frase. Os outros respondem com advogado.

Sem rodeio: privacidade sem identidade verificada não cria fraude nova, mas muda o formato dela, cega quem deveria vigiar e transfere a conta para a marca. Quem reservar o handle, publicar o canal canônico e reescrever o roteiro antifraude atravessa isso sem susto, e ainda pode cobrar por fazer o mesmo pelos clientes. Quem não fizer vai descobrir o problema pela reclamação de um cliente lesado.

Perguntas frequentes

A Índia proibiu os usernames em definitivo? Não. É uma pausa vinculada a uma consulta regulatória. A Meta respondeu e o MeitY está avaliando; não há decisão final.

Isso atrasa o lançamento no Brasil? Não há anúncio oficial de atraso. O rollout sempre foi gradual e por país. O que mudou é que agora existe um precedente de regulador travando o recurso, o que aumenta a incerteza de cronograma em qualquer mercado.

Como o meu cliente vai saber que é a minha empresa mesmo? Pelo que você publicar, não pelo @ em si. O handle sozinho não prova nada, porque qualquer um consegue um parecido. O que prova é a combinação de conta comercial oficial verificada com um canal canônico publicado no seu domínio, onde o cliente confere antes de responder qualquer coisa que envolva dinheiro ou dado pessoal.

Alguém pode me achar pelo nome de usuário? Não por busca. Não existe diretório nem sugestão. A pessoa precisa saber o @ exato, e você ainda pode exigir uma chave de usuário para liberar o primeiro contato.

E se alguém já registrou o @ da minha empresa? Hoje não existe processo público de reivindicação por marca registrada no WhatsApp. Sobra o caminho de denúncia dentro da plataforma e a via jurídica tradicional, que é lenta. É por isso que reservar agora custa uma hora e resolver depois custa muito mais.

Ainda preciso do número de telefone? Sim. O telefone continua obrigatório para criar e manter a conta. Ele só deixa de aparecer para quem recebe o primeiro contato.

Reservar o handle garante a marca? Garante aquele handle específico. Não impede variações parecidas. É exatamente por isso que o canal canônico publicado por você importa mais do que o @ em si.

Meu sistema quebra quando o recurso liberar? Quebra se ele identifica cliente exclusivamente por telefone. É trabalho técnico com prazo, e está detalhado no checklist de identidade.

Fontes: blog oficial do WhatsApp sobre a reserva de nomes de usuário; TechCrunch (abertura da reserva em 29/jun) e TechCrunch (handles semelhantes ainda disponíveis); Medianama (notificação do MeitY); The Register (prazo de três dias); Rest of World (defesa técnica da Meta e extensão do prazo); TechTimes (Telegram, Signal e a posição da IFF). Regras de produto mudam com frequência: valide na documentação da Meta antes de citar.

Conteúdo da comunidade WhatsApp Founders 🇧🇷. Independente, sem vínculo oficial com o WhatsApp ou a Meta.