¿WhatsApp es seguro y qué apps de mensajería son las más seguras?

Escribir que “la seguridad se vuelve más importante cada año” se ha vuelto tan obvio que ya casi suena pasado de moda. Todos los organismos que miden el ciberdelito tienen estadísticas que demuestran que aumenta año con año, y la mayoría de nosotros probablemente percibimos este hecho de forma natural mientras observamos la explosión de la IA, a veces inquietante.

Cuando pensamos en datos que podrían usarse en nuestra contra, de inmediato pensamos en los datos de nuestra tarjeta de crédito, expedientes médicos e incluso direcciones, pero rara vez pensamos en nuestro historial de chats. Y, sin embargo, abre los chats con tus amigos más cercanos y te garantizo que contendrán algunos, si no todos, esos datos personales.

Una vez que abres la caja de Pandora, rápidamente te preguntas si estás depositando tu confianza en las apps correctas. Después de todo, hay una razón por la que apps de nicho como Telegram proliferaron a principios de la década de 2020. Pero nos estamos adelantando. Empecemos por observar más de cerca al pez más grande: WhatsApp.

¿A quién no le encanta WhatsApp?

WhatsApp. Su enorme escala es alucinante.

Es la única app que se me ocurre que intentó —y logró— reemplazar al mensaje de texto como nuestra opción predeterminada. Con el tiempo hubo algunos contendientes (¿alguien recuerda BBM de BlackBerry?), y algunos dirían que, incluso hoy, iMessage le da una buena competencia…

Pero muéstrame a alguien con iMessage y te garantizo que también tiene WhatsApp instalado. Porque WhatsApp no discrimina por plataforma. Su naturaleza universal es probablemente lo que hizo que WhatsApp capturara el mercado de los SMS en un periodo relativamente corto. De hecho, “te mando un WhatsApp” ahora es casi tan ubicuo como antes lo era “te mando un mensaje”.

Pero ¿es segura?

Depende de cómo definas “seguro”. La privacidad tiene muchas facetas, especialmente cuando implica algo tan matizado como los chats. Desglosemos algunos de los elementos clave y luego volvamos a la pregunta.

El cifrado de WhatsApp

WhatsApp presume cifrado de extremo a extremo mediante el Protocolo Signal. Tiene sentido explorar esto primero, ya que podría ser su función de seguridad más comentada, y luego volver a la pregunta principal.

WhatsApp ha usado el Protocolo Signal desde 2014 (y lo implementó por completo en 2016). Su colaboración con Signal (más sobre ellos después) estuvo impulsada, incluso desde 2014, por la necesidad de una mayor seguridad en su app.

El hecho de que WhatsApp eligiera un protocolo de terceros quizá demuestra que estaban, al menos en parte, comprometidos con mejorar la seguridad. El Protocolo Signal básicamente significa que los mensajes, los datos e incluso las videollamadas/llamadas de voz se cifran desde el momento en que salen de tu teléfono, y solo pueden ser descifrados por el teléfono del destinatario.

Ni siquiera el propio WhatsApp tiene la clave de descifrado. Además, no almacenan los mensajes (más allá del almacenamiento temporal de los mensajes que no pueden entregarse de inmediato). En pocas palabras, tus mensajes siguen siendo bloques ilegibles de texto cifrado en lo que respecta a WhatsApp.

Pero, por muy bien que suene esto, como ya hemos analizado antes, viene con algunas advertencias bastante importantes. En primer lugar, si un usuario reporta un mensaje, este se enviará a los moderadores de WhatsApp, junto con varios mensajes anteriores (presumiblemente para dar contexto). Así que, aunque tengan que ser invitados, WhatsApp aún puede ver mensajes que quizá preferirías que siguieran siendo privados.

Espera… compré un teléfono nuevo y ahí estaba todo mi historial de mensajes

Este es quizá el mayor defecto de todos. Si usas WhatsApp en Android o iPhone, se te animará a respaldar tus mensajes. Pero esos respaldos podrían no estar cifrados. Si no lo están, WhatsApp, o incluso Apple/Google, podrían acceder a esos registros si un tribunal o gobierno los requiere mediante orden judicial.

Es bastante fácil solucionarlo:

1. Ve a la configuración de WhatsApp en tu dispositivo.

2. Ve a Chats > Respaldo de chats

3. Toca Respaldo cifrado de extremo a extremo

Y si puedes, asegúrate de que tus amigos también hagan esto; solo hace falta un respaldo sin cifrar.

Privacidad avanzada del chat

A principios de este año, WhatsApp comenzó a implementar Privacidad avanzada del chat. Descrita como algo “para tus conversaciones más sensibles”, está pensada para “ayudar a evitar que otros saquen contenido fuera de WhatsApp”, sea lo que sea que eso signifique. Está dirigida principalmente a conversaciones grupales más grandes (lo cual tiene sentido), y evita que las personas exporten la conversación y descarguen automáticamente los archivos adjuntos.

Tras probar esta función yo mismo, parece que todavía permite capturas de pantalla y copiar y pegar mensajes, así que no estoy del todo seguro de qué soluciona. Si te preocupan los chats grupales, los mensajes temporales podrían seguir siendo una opción más segura (aunque un poco puntillosa) para tener mayor tranquilidad.

La crisis de los metadatos de 2021

Como mencioné al principio, a inicios de la década de 2020 hubo un éxodo masivo de WhatsApp hacia alternativas como Telegram. Nada fue más notable que en 2021, cuando WhatsApp cambió su política de privacidad.

Los cambios permitieron que WhatsApp compartiera sus metadatos con su empresa matriz, Meta (también conocida como Facebook). Este cambio fue recibido con mucha hostilidad, en parte por la forma en que se implementó (una simple notificación en la app, cuyo mensaje básico era “Acepta o vete”) y, por supuesto, por las implicaciones del intercambio de datos.

Se creía que WhatsApp usaba estos datos adicionales para monetizar aún más a sus usuarios. También permitió que los usuarios empresariales almacenaran sus conversaciones con clientes con terceros, lo que muchos vieron como una ligera marcha atrás respecto a su postura previamente férrea sobre el cifrado. Las empresas podrían (teóricamente) vender estos datos para segmentación publicitaria y análisis.

¿Qué son los metadatos?

En el caso de WhatsApp, se trata básicamente de números de teléfono, información del dispositivo, direcciones IP, contactos y patrones de uso. Individualmente, puede que no parezcan tan interesantes, pero juntos pueden ofrecer información bastante detallada si se analizan correctamente.

Jamie, hombre, 34

• Pasa tiempo en Exeter, Reino Unido.

• Interactúa con frecuencia con Penhaligons Ltd.

• Tiene una proporción significativa de amigos en Londres.

• Suele estar activo de 8AM a 10PM (definitivamente no es lo que diría, pero puedo soñar).

En este caso hipotético, vemos rápidamente cómo WhatsApp puede usar los pequeños fragmentos de mis metadatos para construir un mini perfil sobre mí. Ignorando cualquier dato que puedan recopilar de Facebook e Instagram, ya podrían dirigirme anuncios:

• Cuando es más probable que esté activo.

• Relacionados con fragancias o jabones.

• Locales de Exeter.

• Que siembren la idea de una visita a Londres, incluyendo viajes, lugares donde hospedarse y cosas que hacer.

Y todas estas son ideas muy superficiales. No es difícil imaginar que me alimenten a un algoritmo complejo que exprima hasta el último valor monetario de los datos limitados que han recopilado de WhatsApp. Y esto es lo que muchos comprendieron en 2021.

Otras preocupaciones sobre WhatsApp

Pagos y transacciones

Si usas WhatsApp para procesar pagos, es posible que esas transacciones no estén cifradas de extremo a extremo de la misma manera que las conversaciones.

Esto plantea un par de problemas. Los pagos en sí no están cifrados de extremo a extremo, y en su lugar los gestionan bancos de terceros. Aunque esto en sí mismo no es necesariamente un problema, si tu dispositivo se ve comprometido por spyware o malware, el cifrado de Meta no te protegerá. También existe la preocupación de que Meta pueda usar los metadatos de compra para reforzar aún más el perfil personal que ya mencionamos.

Datos de grupos

Aunque los datos de grupos no son inherentemente un “problema”, en WhatsApp hay menos opciones que en otras plataformas para ocultar tus datos personales. Si participas en un chat grupal grande donde preferirías que tu nombre, número y foto no fueran visibles, esta es una desventaja de WhatsApp.

Corrupción gubernamental y de las fuerzas del orden

Aunque muchos se alejaron de WhatsApp por las preocupaciones de privacidad relacionadas con los metadatos, para otros eso es solo parte de la historia. Para algunas personas, una app más segura es una necesidad, no un lujo, y elegir la correcta podría marcar una gran diferencia.

Algunos gobiernos son corruptos y pueden usar medios nefastos para obtener, o incluso simplemente monitorear, más datos de los que tienen derecho a obtener de sus ciudadanos. De los 5 mil millones de personas con acceso a Internet, el 79% vive en países donde las personas fueron arrestadas o encarceladas por publicar contenido sobre temas políticos, sociales o religiosos.

Un artículo reciente sugiere que incluso el FBI de Estados Unidos puede obtener considerablemente más de WhatsApp e iMessage que de Telegram y Signal. Es un texto interesante, pero tómalo con cautela porque depende en gran medida de una sola fuente.

Con esto en mente, veamos algunas de las otras apps y por qué las personas con más que perder podrían elegirlas. Un pequeño spoiler: todos los mensajeros que vamos a mencionar (excepto Telegram) tienen cifrado de extremo a extremo de forma predeterminada. Como este es el estándar de referencia en seguridad de mensajería, no sorprende, así que lo daremos por hecho y nos enfocaremos en las demás funciones.

En teoría, ninguna app de mensajería es más segura que otra solo por el cifrado. Gran parte de esto se reduce a los metadatos y a cómo se usan. Así que la seguridad diferenciadora tiene que ver principalmente con su monitoreo de metadatos, pero más exactamente, se reduce a la creencia: si los usuarios creen que estas empresas trabajarían con fuerzas del orden corruptas para entregar datos que no tendrían por qué entregar.

Telegram

Cuando pensamos en apps alternativas, Telegram probablemente encabeza la lista. Sin embargo, este es un caso interesante de percepción frente a realidad. Porque, si prestaste atención arriba, habrás notado que Telegram es en realidad la única de las que estamos por revisar que no está cifrada de extremo a extremo, y en su lugar depende de un método de cifrado cliente-servidor. Esto significa que Telegram sí puede descifrar los mensajes, a diferencia de otras plataformas.

Solo los Chats secretos en Telegram cuentan con cifrado completo. Entonces, ¿por qué habría ganado reputación de ser más segura (aunque la realidad quizá no lo respalde)?

Gran parte tiene que ver con el marketing. Los fundadores de Telegram han enfatizado a menudo que no es con fines de lucro, pero eso no es lo mismo que sin fines de lucro, y esa es una distinción crucial.

Sin embargo, sí tiene controles más “granulares” en cuanto a privacidad que WhatsApp no tiene. Por ejemplo, puedes ocultar tu número de teléfono y elegir quién ve los datos del perfil, como tu foto. También hay un modo de administrador anónimo que puedes usar para publicar sin revelar tu identidad. Así que hay formas de hacer que Telegram sea más segura, pero es menos automático de lo que podrías esperar de un nombre tan sinónimo de seguridad.

Además, al igual que WhatsApp, está vinculada a un número de teléfono. Esto significa que, a un nivel más profundo, tus comunicaciones pueden rastrearse hasta ti. Lo cual es malo si realmente necesitas permanecer de incógnito. Esto es algo que será menos común a medida que avancemos en la lista.

Quizá, debajo de esa capa de seguridad, Telegram ha tenido más éxito por las comunidades que fomenta y la idea de poder hablar libremente con personas afines. Pero aun así se gana su lugar como alternativa a WhatsApp.

Signal

Ya mencionamos Signal, ya que su protocolo de cifrado de extremo a extremo es lo que protege a WhatsApp. En algún momento fue respaldado por Edward Snowdon, lo cual dice mucho sobre sus niveles de seguridad. Al igual que con WhatsApp, el cifrado hace imposible el acceso a los mensajes a nivel de servidor.

Con Signal, necesitas un número móvil para registrarte, pero después de eso puedes optar por un nombre de usuario, lo que hace más difícil rastrearte. La filosofía de Signal en torno a la seguridad es sólida y, aunque no es imposible rastrear los mensajes hasta ti, está diseñada para que sea difícil.

Lo que conservan también es famosamente mínimo. Conocen tu número, la fecha en que registraste tu cuenta, cuándo te conectaste por última vez y si actualmente estás en línea. No conservan ningún otro metadato, e incluso cifran los detalles de a quién le escribes mediante Sealed Sender. El servidor sabe a dónde entregarlo, pero no quién lo envió.

Una pequeña desventaja es que Signal puede bloquearse más fácilmente por países y jurisdicciones debido a cómo funciona detrás de escena. Por ejemplo, enfrentó bloqueos en algunos países, incluidos Irán y Egipto.

Esto se debe a queSignal depende de servidores centralizados para la entrega de mensajes y el registro, lo que significa que los gobiernos pueden identificar y bloquear esas direcciones IP específicas. En segundo lugar, Signal requiere verificación por SMS o voz durante la configuración, lo que da a los proveedores de telecomunicaciones la oportunidad de interceptar o bloquear por completo el proceso de registro.

Pero Signal es una opción sólida en la mayoría de los territorios y, a diferencia de Telegram, Signal es sin fines de lucro, lo que brinda cierta tranquilidad sobre sus motivaciones financieras.

Session

Session es como Signal con esteroides. No conserva metadatos y, a diferencia de las apps mencionadas hasta ahora, tampoco necesita un número de teléfono ni una dirección de email para registrarte.

En su lugar, asigna a tu dispositivo un ID usando una combinación inteligente de cookies y métodos de identificación entre bastidores, lo que significa que puedes permanecer verdaderamente anónimo (aplican términos y condiciones). De forma similar, elimina los servidores que las otras apps usan para transferir y procesar físicamente los datos de los mensajes, y en su lugar opta por una estructura descentralizada que usa nodos, de manera similar al navegador TOR.

Esto significa que no hay una computadora central procesando los datos, lo que hace mucho más difícil rastrearlos.

Entonces, ¿por qué no usamos todos Session? Bueno, hay algunas desventajas. La falta de servidores centrales (y la dependencia de nodos) genera problemas de velocidad, tanto para llamadas como para mensajes de texto.

Los identificadores únicos pueden representar riesgos. El anonimato tiene dos caras, y Session facilita la suplantación de identidad o el encubrimiento de otras actividades maliciosas. No solo eso, también son algo engorrosos en la mayoría de los entornos cotidianos. Tienes que compartir manualmente tu ID de sesión alfanumérico de 66 dígitos, lo que puede provocar errores.

Te gusten o no, los números de teléfono y sus riesgos asociados vienen con beneficios, como poder encontrar fácilmente a tus amigos (mediante sus vínculos con tus otras cuentas), o simplemente la facilidad de dar un número.

En general, Session es excelente si lo que necesitas es verdadero anonimato debido a una amenaza inminente, pero es bastante poco práctica para el uso diario. Ese es el precio del verdadero anonimato.

Thunderbolt

Thunderbolt es una app de comunicación enfocada en la seguridad que pone la privacidad en primer lugar de una manera similar, aunque no idéntica, a Session y Signal.

De una forma similar a Session, busca eliminar tus datos personales, pero de una manera algo menos impráctica. En lugar de simplemente reemplazar un número de teléfono o email con un código infinitamente largo, usa un dominio como tu identificador. Esto es notablemente diferente de una dirección de email, tanto en cómo se ve como en cómo funciona. En cuanto a apariencia, es la parte que escribes en una barra de direcciones, sin el nombre ni el símbolo @. Funcionalmente, permite una mejor seguridad, sin dejar de ser útil y práctico siempre que quieras compartirlo.

De esta manera, Thunderbolt también es descentralizada. Aunque no usa los “nodos” completamente independientes que utiliza Session (y en su lugar opta por servidores centralizados más confiables), sí se apoya en una identidad descentralizada mediante la propiedad de dominios. Al utilizar DNS, Thunderbolt también es un poco más difícil de prohibir para los países.

La identidad basada en DNS significa que los usuarios se verifican mediante la propiedad de dominios, lo cual es descentralizado y, por lo tanto, más difícil de regular (que los sistemas centralizados de números de teléfono). Bloquear la infraestructura DNS también implica el riesgo de daños colaterales: los gobiernos tendrían que interferir con la propia resolución de dominios, lo que podría interrumpir servicios y sitios web no relacionados. Realmente no vale la pena el riesgo.

Se pueden lograr mayores niveles de anonimato con Thunderbolt si eliges un dominio Handshake o ENS. Esto utiliza una red descentralizada de estilo blockchain que pone el anonimato en el centro del proceso de registro de dominios. A diferencia de Session, puedes no aparecer en directorios y aun así compartir tu dominio (identificador) con facilidad.

Un beneficio adicional de este método, que no es comparable con las otras apps, es que el DNS también hace más difícil que suplanten tu identidad. Tanto los números de teléfono como las direcciones de email son notoriamente fáciles de falsificar. Debido a que una cuenta de dominio normalmente estará protegida por autenticación de dos factores (2FA) y una contraseña segura, esto la hace inherentemente más segura y difícil de hackear o falsificar.

Thunderbolt combina este sistema único de ID con valores fundamentales de seguridad y privacidad. Por lo tanto, podría verse como un escenario de “lo mejor de ambos mundos”, ofreciendo lo mejor del anonimato, al mismo tiempo que es accesible y tiene entrega rápida.

Aunque Thunderbolt conserva niveles de metadatos similares a los de Signal, afirma claramente que estos datos nunca se monetizarán ni se usarán de otra manera.

Presentado como tabla

Fue mucho que procesar, así que condensamos los puntos principales en una tabla útil.

¿Qué app es la más segura?

En resumen, la mayoría de las apps presume cierto grado de privacidad, y el resto depende de la confianza individual que tengas en la empresa. Del grado en que creas que podrían cooperar con fuerzas del orden o gobiernos corruptos.

Todos los que llevamos con orgullo nuestro título en True Crime de Netflix sabremos que ni siquiera el cifrado más fuerte del mundo te protege si alguien hackeó tu dispositivo o simplemente te lo quita. En estas situaciones, a menudo se examina mucho más que los mensajes. Así que las apps de comunicación, y sus beneficios de seguridad, siempre son relativos al mundo más amplio en el que vives, y solo son parte de la ecuación.

Para la mayoría de nosotros, se trata más de que nuestros datos se moneticen que de que se usen en nuestra contra, y hacer un cambio sencillo a algo como Signal o Thunderbolt puede reforzar tu seguridad sin las desventajas de las apps de mensajería más restringidas.