Octubre mes de la Ciberseguridad - Día 24: Privacidad en aplicaciones de mensajería instantánea

[jorgesdb]

La mayoría de los usuarios da por hecho que todas las apps de mensajería son igual de seguras, pero no todas cifran igual ni protegen tu identidad del mismo modo.
Algunas se centran en la comodidad y las funciones sociales, otras en la privacidad extrema.
Para entenderlo, hay que diferenciar dos conceptos:

• Cifrado de contenido: protege lo que escribes o envías.
• Metadatos: quién habla con quién, cuándo, desde dónde y con qué dispositivo.

El contenido puede estar cifrado, pero los metadatos muchas veces siguen siendo visibles o registrados en los servidores.

Aplicación	País / Jurisdicción	Cifrado punto a punto (E2EE)	Metadatos guardados	Código abierto	Modelo de negocio	Empresa / Entidad detrás	Comentario
WhatsApp	EE. UU. (Meta, California)	✅ Sí (por defecto, protocolo Signal)	📊 Muchísimos: IP, contactos, hora, grupos, dispositivo, etc.	⚙️ Parcial (no el servidor)	Datos + ecosistema Meta	Meta Platforms	Muy usado, pero dependiente de Meta y su ecosistema publicitario
Telegram	Emiratos Árabes (antes Rusia, ahora Dubái)	⚠️ Solo en “chats secretos”	📊 IP, contactos, IDs, grupos, nombre, alias	⚙️ Parcial (cliente abierto, servidor cerrado)	Donaciones y futuro modelo premium	Telegram FZ-LLC (Pavel Durov)	Alta funcionalidad, baja privacidad real por defecto
Signal	EE. UU. (Signal Foundation, sin ánimo de lucro)	✅ Sí, por defecto en todo	🔍 Mínimos (fecha de registro y último acceso)	✅ Completamente abierto	Donaciones / subvenciones	Signal Foundation (Moxie Marlinspike, Brian Acton)	Privacidad excelente y código auditado
Wire	Suiza / Alemania	✅ Sí, por defecto	📋 Mínimos necesarios (fecha y contactos encriptados)	✅ Completamente abierto	Suscripciones (empresas / particulares)	Wire Swiss GmbH	Orientada a empresas y cumplimiento RGPD
Session	Australia (descentralizada, red Oxen)	✅ Total (sin servidores centrales)	🚫 No guarda IPs ni metadatos	✅ 100% abierto	Donaciones / criptomoneda Oxen	Oxen Privacy Tech Foundation	Máximo anonimato, sin número de teléfono

WhatsApp (Meta Platforms, EE. UU.)​

• Usa el protocolo de cifrado de Signal (muy robusto), pero solo protege el contenido del mensaje, no los metadatos.
• Meta (su empresa matriz) recopila:
  • Tu lista de contactos (sin contenido de chat).
  • Hora de conexión, IP, modelo de dispositivo, operadora, geolocalización aproximada.
  • Información de grupos y empresas con las que interactúas.
• Sincroniza con Facebook/Instagram para análisis de comportamiento y publicidad dirigida.
• Copias de seguridad en Google Drive o iCloud no están cifradas extremo a extremo (aunque ofrecen la opción, no viene activada siempre).

Jurisdicción: Estados Unidos, sujeta al Patriot Act y acuerdos de datos internacionales.
Privacidad real: baja.
Seguridad técnica del contenido: alta.
Recomendable solo si todos tus contactos están en WhatsApp y no puedes migrar fácilmente.

Telegram (Telegram FZ-LLC, Dubái)​

• Por defecto, los chats NO son cifrados de extremo a extremo.
  • El cifrado E2EE solo se aplica si activas “Chat secreto”.
• Los chats normales están cifrados cliente-servidor, lo que significa que Telegram podría acceder a ellos.
• Guarda metadatos, IDs, alias y tu lista de contactos.
• Las copias de mensajes y archivos se almacenan en sus servidores (para sincronizar entre dispositivos).
• El cliente (app) es open source, pero el servidor no.
• Telegram afirma no colaborar con gobiernos ni vender datos, pero no hay auditorías externas que lo confirmen, y las últimas noticias que están apareciendo dicen lo contrario.

Jurisdicción: Emiratos Árabes Unidos, fuera del RGPD europeo.
Privacidad media-baja.
Seguridad pasable en modo secreto.
Recomendable para grupos grandes o canales, no para comunicación confidencial, aunque mejor crearlos en Whatsapp o mejor aun, Signal.

Signal (Signal Foundation, EE. UU.)​

• Considerada la referencia en privacidad y cifrado.
• Usa protocolo E2EE propio, abierto y auditado, empleado también por WhatsApp y Google Messages.
• No almacena metadatos relevantes: solo la fecha de registro y último acceso.
• No guarda IPs, ni lista de contactos (usa hashes).
• Código completamente abierto (cliente y servidor).
• Financiada por donaciones y subvenciones (sin publicidad).
• Recientemente añadió soporte para usernames (ya no es obligatorio dar tu número).

Jurisdicción: EE. UU., pero al ser fundación sin ánimo de lucro y con cifrado completo, ni ellos pueden leer los mensajes.
Privacidad: excelente.
Recomendable para uso personal, profesional o activista.

Wire (Wire Swiss GmbH, Suiza)​

• Cifrado E2EE por defecto.
• Compatible con RGPD y legislación suiza.
• Guarda únicamente los metadatos necesarios para funcionamiento (cifrados).
• Código abierto, auditado, disponible en GitHub.
• Financiado mediante suscripciones profesionales, sin anuncios ni rastreo.
• Ofrece herramientas de colaboración seguras (chat, llamadas, videollamadas, archivos).

Jurisdicción: Suiza (gran protección legal y privacidad).
Privacidad: muy alta, especialmente en entornos corporativos o educativos.
Recomendable para equipos o profesionales con alto nivel de exigencia.

Session (Oxen Privacy Tech Foundation, Australia)​

• La más radical en privacidad: no requiere número de teléfono ni correo.
• Basada en la red descentralizada Oxen (similar a Tor): los mensajes se enrutan entre nodos anónimos.
• Todos los mensajes y metadatos cifrados extremo a extremo.
• No registra IP, ubicación ni hora.
• Código abierto, auditado.
• Más lenta que otras por su arquitectura descentralizada.

Jurisdicción: Australia, pero sin servidores centralizados ni acceso a datos.
Privacidad: máxima.
Ideal para activistas, periodistas o comunicaciones extremadamente sensibles.

Consejos generales para mensajería segura​

Activa el cifrado extremo a extremo si no está por defecto.
Evita hacer copias de seguridad en la nube sin cifrar.
Activa 2FA / PIN de bloqueo en la app.
Revisa los permisos del dispositivo (micrófono, ubicación, cámara).
Desactiva la previsualización de mensajes en pantalla bloqueada.
Evita compartir datos personales o documentos sensibles en apps no cifradas.
Actualiza regularmente las aplicaciones (corrigen vulnerabilidades).
Usa versiones oficiales, nunca modificadas (“mods”) como GBWhatsApp o PlusMessenger.

Resumiendo​

La elección de app de mensajería define tu nivel de privacidad digital:

• WhatsApp: cómodo, pero dependiente de Meta.
• Telegram: útil y versátil, pero no tan privado como parece.
• Signal: equilibrio perfecto entre seguridad y usabilidad.
• Wire: alternativa empresarial compatible con RGPD.
• Session: opción extrema de anonimato.

Si valoras tu privacidad, Signal o Wire son las mejores opciones.
Si necesitas anonimato absoluto, por ejemplo porque eres un periodista en una zona de conflicto, Session.
Y si usas WhatsApp, activa copias cifradas y revisa tu configuración de privacidad ya.