El método: espionaje por la puerta de atrás
El mecanismo es alarmantemente sencillo y aprovecha una función que los servicios de mensajería incorporaron precisamente para facilitar la vida a los usuarios: la vinculación de dispositivos adicionales (por ejemplo, mediante WhatsApp Web). Basta con que alguien tenga acceso físico a su teléfono desbloqueado durante unos segundos para que pueda vincular otro dispositivo —como un ordenador o una tableta— a su cuenta mediante un código QR o un código de confirmación enviado por SMS. Las autoridades encargadas de la investigación de delitos ya utilizan esta táctica en los interrogatorios cuando se les entregan voluntariamente los teléfonos. Pero el peligro no procede únicamente de las autoridades: una pareja celosa por la noche en el sofá o un jefe en la oficina también pueden aprovechar un descuido para realizar una rápida «vinculación fantasma». Las graves consecuencias de una vinculación de este tipo:
- Vigilancia en tiempo real: El atacante ve en su propia pantalla cada nuevo mensaje que usted envía o recibe, al mismo tiempo que usted.
- Sincronización de chats antiguos: Según el servicio de mensajería, al vincular el dispositivo también se descargan en el dispositivo del tercero los historiales de conversaciones anteriores.
- Manipulación inadvertida: Un dispositivo vinculado no solo permite leer los mensajes de forma pasiva, sino que a menudo también permite redactar y enviar mensajes desde su cuenta, lo que puede alterar por completo el valor probatorio de los chats si llega a ser necesario utilizarlos como prueba.
Por qué el cifrado no sirve en este caso
Ni el mejor cifrado de extremo a extremo protege frente a este método. Para el sistema, el dispositivo del atacante no es un tercero no autorizado, sino un segundo canal oficial que usted ha autorizado. Por tanto, el mecanismo de protección no se vulnera, sino que simplemente se elude por una vía legítima. Es cierto que el engaño queda al descubierto en cuanto se revisan las sesiones activas en los ajustes de la aplicación, pero, seamos sinceros: ¿quién comprueba esa lista a diario? Precisamente con eso cuentan los fisgones. A menudo, pasan horas, días o incluso semanas antes de que se detecte a quien lee los mensajes a escondidas.
El riesgo para las empresas: TI en la sombra y espionaje industrial
En el ámbito empresarial, este problema se agrava de forma drástica. Cuando los empleados intercambian información interna de la empresa, datos de clientes o detalles de proyectos a través de canales de mensajería privados o insuficientemente protegidos, las empresas se exponen a fugas masivas de datos:
- Pérdida de secretos empresariales: Un dispositivo vinculado sin que nadie lo advierta puede hacer que conversaciones confidenciales lleguen directamente a la competencia o a terceros no autorizados.
- Incumplimiento normativo y vulneraciones del RGPD: La sincronización sin cifrar de conversaciones de trabajo en dispositivos personales de terceros vulnera la normativa vigente de protección de datos y puede acarrear costosas consecuencias legales para las empresas.
Cómo protegerse de forma eficaz
(Reglas de seguridad para el día a día)
Como su socio tecnológico, recomendamos encarecidamente a empresas y particulares que incorporen las siguientes reglas de seguridad a su día a día y las cumplan rigurosamente:
- Revise periódicamente los dispositivos vinculados: Acceda a los ajustes de sus aplicaciones (WhatsApp, Telegram, Signal) y consulte el apartado «Dispositivos vinculados» o «Sesiones». Elimine de inmediato cualquier dispositivo que no tenga la certeza de haber configurado personalmente.
- Proteja el acceso a su móvil: Nunca deje su móvil desbloqueado y sin vigilancia, ni en casa ni en el trabajo. Utilice códigos PIN seguros, Face-ID o el bloqueo por huella dactilar.
- Active el bloqueo de la aplicación: Muchas aplicaciones de mensajería permiten añadir, desde los ajustes de privacidad, una capa adicional de protección mediante un código independiente o autenticación biométrica. ¡Active esta función!
- Cuidado con los códigos por SMS: Nunca comparta los códigos de verificación que reciba por SMS y no permita que nadie mire su pantalla sin su supervisión.
- Establezca normas claras sobre el uso de la mensajería en la empresa: Utilice para las comunicaciones de trabajo únicamente aplicaciones de mensajería empresarial específicas y autorizadas por su proveedor de servicios informáticos, y prohíba el envío de datos de la empresa a través de aplicaciones de chat de uso exclusivamente personal.
La privacidad digital empieza por un uso consciente de los dispositivos. Si necesita ayuda para proteger las comunicaciones de su empresa o establecer canales de comunicación seguros para su personal, como proveedor de servicios informáticos estamos siempre a su disposición para asesorarle.
Escriba aquí …