WhatsApp, Telegram o Signal: ¿cuál protege realmente tus mensajes de gobiernos y hackers?

Para millones de personas, el pequeño candado que acompaña a los mensajes en WhatsApp es un símbolo de seguridad absoluta. La promesa del «cifrado de extremo a extremo» (E2EE) se ha convertido en un mantra, la garantía de que solo nosotros y nuestro interlocutor podemos leer lo que se escribe. Esta confianza se extiende a otras plataformas como Signal, aclamada como el estándar de oro de la privacidad, y Telegram, con sus populares canales y «chats secretos». Sin embargo, esta sensación de seguridad es, en gran medida, una ilusión peligrosa.

El debate sobre qué aplicación es «más segura» a menudo se estanca en comparaciones técnicas superficiales. La realidad, especialmente para un activista, periodista o empresario que maneja información sensible, es mucho más compleja. La verdadera amenaza no reside en la rotura teórica de un algoritmo de cifrado, una proeza reservada a actores con recursos casi ilimitados. El peligro real se esconde en las «zonas grises»: las copias de seguridad en la nube, los metadatos que generamos sin darnos cuenta, las políticas de acceso de las plataformas corporativas y, sobre todo, nuestros propios hábitos.

Este artículo no busca coronar a un ganador. Su propósito es desmantelar los falsos mitos de seguridad y actuar como un periodista de investigación, exponiendo los puntos de ruptura de cada plataforma. Analizaremos cómo una copia de seguridad aparentemente inofensiva se convierte en una puerta trasera, qué revela Telegram sobre ti incluso sin leer tus mensajes, y quién tiene realmente la llave de tus conversaciones en el entorno laboral. Al final, comprenderás que la verdadera protección no viene de una aplicación, sino de una estrategia de seguridad consciente y multicapa.

A continuación, desglosaremos cada uno de los puntos débiles y las fortalezas de estas herramientas de comunicación, proporcionando un análisis detallado para que puedas tomar decisiones informadas sobre tu privacidad digital.

¿Por qué tus chats cifrados de WhatsApp dejan de ser seguros cuando se guardan en Google Drive?

El talón de Aquiles de la seguridad de WhatsApp, la aplicación de mensajería dominante en España con una penetración del 93,4% según el Panel de Hogares de la CNMC de 2024, no está en su cifrado en tránsito, sino en su «cifrado en reposo», o más bien, en la ausencia del mismo por defecto. Cuando activas la copia de seguridad en Google Drive para no perder tus conversaciones, estás creando una réplica de tus chats que, hasta hace poco, no estaba protegida por el cifrado de extremo a extremo de WhatsApp. Esto significa que Google (y, por extensión, cualquier autoridad con una orden judicial válida) podría acceder al contenido de tus mensajes.

Esta vulnerabilidad se ha vuelto aún más crítica recientemente. Como detalla un informe, Google anunció que desde enero de 2024 las copias de seguridad de WhatsApp comenzaron a contar para el límite de 15 GB gratuitos. Esto obliga a los usuarios a ser conscientes del tamaño de sus copias, pero también pone de relieve la existencia de un archivo potencialmente no seguro que contiene años de datos sensibles.

La solución a esta enorme brecha de seguridad existe, pero requiere una acción proactiva por parte del usuario. WhatsApp ha implementado la opción de copias de seguridad cifradas de extremo a extremo. Al activarla, se protege la copia de seguridad con una contraseña o una clave de 64 dígitos que solo tú conoces. Sin esta clave, ni WhatsApp ni Google pueden acceder a tus datos. No activar esta función es, en la práctica, dejar una puerta abierta a tu historial de conversaciones, anulando la protección que creías tener.

¿Cómo y cuándo comparar los códigos QR de seguridad con tus contactos para evitar el «Man-in-the-Middle»?

El cifrado de extremo a extremo se basa en un principio de confianza: que las claves de cifrado que intercambias pertenecen realmente a tu contacto y no a un intermediario malicioso. Un ataque de «Man-in-the-Middle» (MitM) ocurre cuando un atacante intercepta la comunicación y se hace pasar por ambos interlocutores, pudiendo leer y modificar los mensajes sin que las víctimas se den cuenta. Para contrarrestar este riesgo, aplicaciones como WhatsApp y Signal ofrecen una capa de verificación manual.

Como explica WhatsApp en su Centro de Ayuda, «los códigos QR en WhatsApp te permiten verificar que las llamadas y los mensajes que envías a ese contacto están cifrados de extremo a extremo». Este código es una representación visual de una clave de seguridad compartida. Si estás físicamente con tu contacto, uno puede escanear el código del otro. Si coinciden, tienes la certeza de que la conexión es segura y no ha sido interceptada. Si no estás en persona, podéis comparar la serie de 60 dígitos que aparece debajo del QR.

¿Cuándo es crucial realizar esta verificación? Para conversaciones cotidianas, puede ser excesivo. Sin embargo, si eres un periodista contactando a una fuente, un activista coordinando acciones o un ejecutivo discutiendo un acuerdo confidencial, la verificación es un paso absolutamente necesario. Deberías hacerlo al iniciar una conversación sensible por primera vez con un nuevo contacto, o si WhatsApp te notifica que el código de seguridad de un contacto ha cambiado (lo que puede ocurrir si reinstala la app o cambia de teléfono, pero también podría ser una señal de alerta).

No todas las aplicaciones facilitan este proceso de la misma manera, lo que afecta directamente al nivel de seguridad que puedes alcanzar de forma práctica.

¿Qué información sobre ti revela Telegram aunque el mensaje esté oculto?

Telegram se ha ganado una reputación de ser una alternativa segura a WhatsApp, en parte gracias a sus «chats secretos» con cifrado E2EE. Sin embargo, esta percepción es engañosa. Por defecto, las conversaciones en Telegram no son cifradas de extremo a extremo; se cifran entre el cliente y el servidor, lo que significa que Telegram tiene acceso a ellas. Aunque en España su uso es menor que el de WhatsApp, un 18,5% de la población según datos de la CNMC lo utiliza, un colectivo significativo que podría estar operando bajo una falsa sensación de seguridad.

El mayor riesgo de privacidad en Telegram no es necesariamente el contenido de tus mensajes, sino los metadatos. Los metadatos son «los datos sobre los datos»: con quién hablas, cuándo, con qué frecuencia, desde dónde y como parte de qué grupos. Esta información, en conjunto, puede pintar un retrato increíblemente detallado de tu vida, tus relaciones y tus actividades, incluso si el contenido exacto de tus conversaciones permanece oculto. Para un gobierno o una agencia de inteligencia, este «grafo social» es a menudo más valioso que el contenido en sí.

La arquitectura de Telegram, diseñada para soportar grandes grupos y canales, es particularmente propensa a filtrar metadatos. Funciones como «Personas cerca» pueden ser utilizadas para triangular la ubicación de un usuario. La visibilidad de tu número de teléfono o tu estado «en línea» también contribuye a construir este perfil digital. Signal, en cambio, está diseñado desde cero para minimizar la recolección de metadatos, almacenando únicamente la fecha de registro y la última conexión del usuario.

Teams o Slack: ¿quién tiene la llave para leer los mensajes de tu empresa si hay una orden judicial?

La conversación sobre mensajería segura a menudo se centra en el uso personal, pero en el ámbito corporativo, las reglas cambian drásticamente. Plataformas como Microsoft Teams y Slack se han convertido en la columna vertebral de la comunicación empresarial, pero no ofrecen el mismo modelo de privacidad que Signal o WhatsApp. Aquí, la confianza no reside en un algoritmo de cifrado, sino en la política de la empresa y en el administrador del sistema.

El administrador de la empresa tiene, por diseño, la capacidad técnica para acceder a todo el contenido de las comunicaciones corporativas en plataformas como Teams o Slack.

– INCIBE, Instituto Nacional de Ciberseguridad de España

Esto significa que no existe un cifrado de extremo a extremo real que proteja al empleado del empleador. Los datos se cifran en tránsito y en reposo en los servidores de Microsoft o Slack, pero la empresa, como cliente, mantiene las llaves del reino. En caso de una orden judicial, una investigación interna o una disputa legal, la empresa no solo puede, sino que a menudo está obligada a entregar el contenido de esas conversaciones.

Por lo tanto, utilizar estas herramientas para cualquier comunicación que requiera confidencialidad absoluta frente a tu propio empleador o frente a posibles acciones legales es un error fundamental. Para un periodista que se comunica con una fuente dentro de una empresa, por ejemplo, usar el Slack o Teams de esa empresa sería el equivalente a tener la conversación en la oficina del director general.

El error de enviar contraseñas o datos bancarios por apps de mensajería «segura» que quedan en el historial

La mayor vulnerabilidad en cualquier sistema de seguridad suele ser el factor humano. Podemos tener la aplicación más segura del mundo, con el cifrado más robusto, pero si la usamos de forma incorrecta, toda esa protección se desvanece. Uno de los errores más comunes, normalizado por la comodidad del día a día, es enviar información extremadamente sensible —contraseñas, números de tarjeta de crédito, datos del DNI— a través de chats de mensajería.

Considerando que, según datos de la CNMC, casi el 70% de los españoles usa mensajería instantánea diariamente, la probabilidad de que este tipo de información se comparta es altísima. El problema fundamental es que estos datos, una vez enviados, permanecen en el historial del chat de forma indefinida y en texto plano. Quedan almacenados en el dispositivo del emisor, en el del receptor y, como vimos, en las copias de seguridad en la nube si no están correctamente cifradas.

Esto crea una superficie de ataque masiva. Si el teléfono de cualquiera de los dos interlocutores es robado, perdido o comprometido por malware, el atacante obtiene acceso instantáneo a esa información crítica. Confiar en «borrar el mensaje para todos» no es una solución fiable, ya que el receptor puede haberlo visto y copiado antes de la eliminación.

El protocolo correcto para compartir credenciales o datos sensibles nunca debe involucrar una aplicación de mensajería convencional. La alternativa profesional y segura es utilizar un gestor de contraseñas. Herramientas como 1Password o Bitwarden no solo almacenan las contraseñas de forma segura, sino que también ofrecen funciones para compartir credenciales de forma temporal y controlada con otros usuarios. Para documentos, existen servicios de transferencia de archivos cifrados de extremo a extremo que eliminan el archivo después de un tiempo o una descarga.

¿Cómo encriptar tus archivos sensibles antes de subirlos a Google Drive o Dropbox?

Confiar en el cifrado que ofrecen por defecto los servicios en la nube como Google Drive o Dropbox es un error. Si bien cifran los datos en sus servidores (cifrado en reposo), la empresa sigue teniendo las claves. Esto significa que pueden acceder a tus archivos si una orden judicial se lo exige. Para alcanzar una verdadera privacidad, es necesario aplicar un principio conocido como «cifrado de conocimiento cero» (zero-knowledge), donde solo tú tienes la clave para descifrar tus propios archivos.

La estrategia más eficaz es cifrar los archivos en tu dispositivo local antes de que toquen la nube. De esta manera, lo que subes a Google Drive o Dropbox es un contenedor ilegible para cualquiera que no posea la clave, incluida la propia compañía proveedora del servicio. Herramientas como Cryptomator o VeraCrypt son excelentes para este propósito.

El proceso es más sencillo de lo que parece y se puede resumir en los siguientes pasos:

1. Instalar el software: Descarga e instala Cryptomator (más sencillo para principiantes) o VeraCrypt (más avanzado y auditable) desde sus sitios web oficiales.
2. Crear una «caja fuerte»: Con el programa, creas un contenedor o «bóveda» cifrada, que es básicamente una carpeta protegida por una contraseña muy robusta.
3. Añadir archivos: Arrastra y suelta tus documentos sensibles dentro de esta bóveda abierta en tu ordenador.
4. Sincronizar el contenedor: La bóveda se guarda como un único archivo (o una serie de archivos cifrados) en tu carpeta local de Google Drive o Dropbox. El software de sincronización subirá automáticamente este contenedor cifrado a la nube.
5. Acceder desde cualquier lugar: Para acceder a tus archivos desde otro dispositivo, solo necesitas tener instalado Cryptomator y acceso a tu servicio en la nube. Al introducir tu contraseña, la bóveda se «desbloquea» y puedes trabajar con tus archivos como si fueran normales.

Este método te devuelve el control total sobre tus datos. La seguridad de tus archivos ya no depende de la política de privacidad de una corporación, sino de la robustez de tu propia contraseña.

KeePass o 1Password: ¿prefieres comodidad en la nube o control total offline de tus claves?

Una vez que dejas de enviar contraseñas por chat, el siguiente paso lógico es adoptar un gestor de contraseñas. Pero aquí surge un nuevo dilema que refleja una tensión fundamental en la seguridad digital: la comodidad frente al control. Este debate se personifica en la elección entre dos tipos de herramientas: los gestores basados en la nube como 1Password o Bitwarden, y los gestores locales y offline como KeePass.

Los gestores en la nube como 1Password ofrecen una experiencia de usuario fluida y sin fricciones. Sincronizan tus contraseñas automáticamente entre todos tus dispositivos (teléfono, portátil, tablet) y sus extensiones de navegador rellenan las credenciales por ti. Son increíblemente convenientes, pero esta comodidad tiene un coste: confías tus «joyas de la corona» a una empresa externa. Aunque cifran tus datos con una clave que solo tú conoces, la superficie de ataque es mayor. Un ataque a los servidores de 1Password o una vulnerabilidad en su extensión de navegador podría, teóricamente, exponer tus datos.

KeePass, por otro lado, es la encarnación del control total. Es un software gratuito y de código abierto que almacena tu base de datos de contraseñas en un único archivo cifrado en tu ordenador local. No hay servidores, no hay nube, no hay sincronización automática (a menos que tú coloques manualmente el archivo en un servicio como Dropbox, preferiblemente dentro de un contenedor Cryptomator). La superficie de ataque es mínima: se reduce a tu propio ordenador. Sin embargo, la responsabilidad es enteramente tuya. Si pierdes el archivo o la contraseña maestra, tus datos se han ido para siempre. La sincronización entre dispositivos es un proceso manual y más engorroso.

La elección depende de tu modelo de amenaza. Para la mayoría de los usuarios, la seguridad de un gestor en la nube de buena reputación como 1Password es más que suficiente y su comodidad garantiza que realmente lo usarán. Para un activista o periodista con un alto perfil de riesgo, que no puede permitirse el más mínimo punto de fallo externo, el control absoluto de KeePass puede ser la única opción aceptable.

VPN gratuita vs. de pago: ¿estás pagando con dinero o con tus datos de navegación?

Proteger el contenido de tus mensajes es solo una pieza del rompecabezas de la privacidad. Todo tu tráfico de internet, desde las búsquedas que haces hasta los sitios que visitas, puede ser monitoreado por tu proveedor de internet (ISP) o por actores maliciosos en redes Wi-Fi públicas. Una Red Privada Virtual (VPN) es una herramienta esencial para cifrar todo este tráfico. Sin embargo, al igual que con las apps de mensajería, no todas las VPN son iguales, y la distinción entre gratuitas y de pago es crítica.

El adagio «si no pagas por el producto, tú eres el producto» nunca ha sido más cierto que en el mundo de las VPN gratuitas. Mantener una infraestructura global de servidores tiene un coste elevado. Las VPN gratuitas deben monetizar su servicio de alguna manera, y a menudo lo hacen de la peor forma posible para la privacidad del usuario.

Las VPN de pago de buena reputación operan con un modelo de negocio transparente: pagas una suscripción a cambio de un servicio de privacidad. Las mejores proveedoras se adhieren a una estricta política de «no-logs» (cero registros), lo que significa que no guardan ningún registro de tu actividad. Para mayor confianza, estas políticas suelen ser auditadas por empresas de ciberseguridad independientes. Además, a menudo tienen su sede en jurisdicciones con leyes de privacidad favorables (como Panamá o las Islas Vírgenes Británicas), fuera del alcance de alianzas de inteligencia como los «Cinco Ojos».

Pagar por una VPN no es un gasto, es una inversión en tu privacidad. Te aseguras de que el incentivo de la empresa está alineado con el tuyo: proteger tus datos, no venderlos.

Ahora que conoces las vulnerabilidades y las herramientas para contrarrestarlas, el siguiente paso es realizar una auditoría completa de tu propia higiene digital. Evalúa qué aplicaciones usas, cómo las tienes configuradas y qué información compartes para construir una fortaleza digital a tu medida.