WhatsApp-brugernavne åbner for svindel og bedrageri — pas på

WhatsApp har i begyndelsen af juli 2026 påbegyndt udrulningen af brugernavne — en funktion der lader brugere finde og skrive til hinanden via et håndtag frem for et telefonnummer. Det lyder som en uskyldig bekvemmelighed. Men allerede inden funktionen er fuldt implementeret, advarer sikkerhedseksperter og myndigheder om en alvorlig risiko: svindlere er i fuld gang med at reservere navne, der udgiver sig for at være kendte personer, banker og officielle institutioner. Det er et klassisk impersonation-angreb, blot med en ny angrebsflade.

Hvad er WhatsApp-brugernavne, og hvordan virker det?

Med det nye brugernavn-system kan WhatsApp-brugere fremover finde og kontakte hinanden ved at søge på et håndtag — eksempelvis "@janebankdanmark" eller "@skatdk" — uden at kende modtagerens telefonnummer. Brugere kan vælge at linke eksisterende Instagram- eller Facebook-konti for at kræve det tilhørende håndtag, og dermed flytte sin online identitet til WhatsApp.

Meta beskriver det som en privatlivsforbedring: du skal ikke længere dele dit telefonnummer med fremmede for at modtage en besked. I teorien er det korrekt. I praksis fjerner det også en vigtig sikkerhedsbarriere: det faktum, at du kendte afsenderens telefonnummer, var tidligere en form for verifikation — et nummer knyttet til en SIM-kortregistrering med identitetsoplysninger bag.

TechCrunch undersøgte funktionen i den tidlige reservationsfase og fandt, at en lang række navne med oplagt svindelpotentiale stadig var ledige og tilgængelige for hvem som helst. Herunder:

• "indiamodi" — et navn der refererer til Indiens premierminister Narendra Modi
• "shahrukh.actor" — bollywood-stjernen Shah Rukh Khan
• "teamamitabh" — skuespiller Amitabh Bachchan
• "ambanijio" — Mukesh Ambanis telekommunikationsselskab Jio
• "rbi_verify" — en tydelig imitation af Reserve Bank of India, Indiens centralbank

Konkrete risici for almindelige brugere

Problematikken er ikke begrænset til kendte personers navne. Ethvert navn der ligner en autoritær institution — din bank, din forsikring, dit mobilselskab, Skat, politiet — kan bruges til at narre brugere til at tro, de kommunikerer med en officiel kilde.

Forestil dig scenariet: du modtager en WhatsApp-besked fra "@danskebank-sikkerhed" der beder dig om at bekræfte dine netbankoplysninger "på grund af mistænkelig aktivitet på din konto." Med et overbevisende brugernavn, et logo som profilbillede og professionel sprogtone er det let at narre selv relativt kritiske brugere — særligt når platformen selv har skabt en struktur, der normaliserer at modtage beskeder fra ukendte afsendere via handles.

Rachel Tobac, CEO hos SocialProof Security, understreger pointen: "Det er vigtigt at verificere identitet med brugernavnfunktionen også." Hun påpeger, at et brugernavn på ingen måde er en garanti for, at du taler med den person eller institution, du tror du taler med. Det er en selvdeklareret identitet — som alle kan vælge frit.

Myndigheders reaktion og Metas svar

Indiens ministerium for elektronik og informationsteknologi (MeitY) har reageret skarpt. I en formel notits udsendt i forbindelse med brugernavnfunktionens lancering advarer ministeriet om, at funktionen kan "materielt øge forekomsten af online-bedrageri, phishing, digitale arrestsvindelnumre og impersonationsangreb." Ministeriet har bedt WhatsApp om at holde udrulningen tilbage, mens der afholdes konsultationer.

Meta har svaret med en forsikring om, at selskabet har indsat en række sikkerhedsforanstaltninger. Brugere kræver stadig et verificeret telefonnummer for at oprette en WhatsApp-konto. Systemet begrænser, hvor mange nye kontakter en konto kan kontakte i en given periode, og der er indsat algoritmer til at blokere gentagne forsøg på at gætte eller systematisk reservere brugernavne.

Meta oplyser desuden, at selskabet reserverer brugernavne for kendte offentlige figurer, statslige institutioner og "visse varianter" af disse navne — men selskabet har ikke redegjort for de præcise kriterier for, hvilke navne der automatisk beskyttes, og hvilke lookalike-handles der forbliver åbne for alle.

Det er præcis den mangel på transparens, sikkerhedseksperter kritiserer. Crypto-milliardæren Changpeng Zhao (Binance-grundlæggeren, bedre kendt som CZ) rapporterede selv, at han ikke kunne reservere sit veletablerede handle "cz_binance" — hans eksisterende brugernavn på X-platformen — fordi Meta ikke automatisk beskyttede det.

Hvad kan du gøre for at beskytte dig?

Brugernavnfunktionen er i fuld udrulning, og der er ingen enkel teknisk løsning, der beskytter dig automatisk. Men der er klare skridt du kan tage:

Vær skeptisk over for uopfordrede henvendelser via WhatsApp, der hævder at komme fra din bank, dit forsikringsselskab, Skat eller andre institutioner. Officielle institutioner kontakter dig som regel via brev, e-mail til din registrerede adresse eller via verificerede apps — ikke via WhatsApp.

Tjek altid telefonnummeret, selv hvis du nu modtager en besked via et brugernavn. Tryk på afsenderens profil og se, om der er et telefonnummer tilknyttet — og om nummeret matcher det, du kender. Mange svindelprofiler vil bruge udenlandske numre trods et dansk-lydende håndtag.

Ring tilbage på officielle numre hvis du er i tvivl om en henvendelsels ægthed. Brug aldrig et nummer eller link du har fået i selve beskeden — opsøg det officielle kontaktnummer via organisationens hjemmeside.

Aktiver to-faktor-autentificering på din WhatsApp-konto for at beskytte din egen identitet mod overtagelse.

Konklusion

WhatsApp-brugernavne er en nyttig funktion med et reelt privatlivsmæssigt formål. Men i sin nuværende form introducerer den en ny og ukontrolleret angrebsflade for identitetsbaseret svindel. Meta's sikkerhedsforanstaltninger er et skridt i den rigtige retning, men de er endnu ikke tilstrækkelige til at modvirke kreative impersonationsangreb.

Svindlere er hurtige til at udnytte nye funktioner, og de har allerede vist, at de er klar. Brugere bør forstå, at et WhatsApp-brugernavn er en selvdeklareret identitet uden uafhængig verifikation — og handle derefter. Kritisk stillingtagen til uopfordrede henvendelser er og bliver dit vigtigste forsvar.