Las fuerzas de seguridad de Alemania han dado con la tecla para acceder a las conversaciones privadas de aplicaciones como WhatsApp, Telegram y Signal. Lo sorprendente del caso es que las autoridades no han necesitado descifrar el complejo código de seguridad ni romper el cifrado de extremo a extremo que protegen a estas plataformas: simplemente han aprovechado los propios vacíos del sistema a través de dispositivos vinculados.
El hallazgo demuestra que, por muy blindada que esté la tecnología de mensajería, el punto más débil de la cadena sigue siendo la gestión de las sesiones de los usuarios.
Las técnicas para saltarse la privacidad sin romper el código
En lugar de lanzar ciberataques imposibles contra los servidores de las compañías, los investigadores están recurriendo a métodos de infiltración directa aprovechando las funciones multidispositivo de las propias aplicaciones:
- Sincronización mediante WhatsApp Web: En uno de los casos investigados, la policía utilizó un breve acceso físico o remoto al teléfono móvil del sospechoso para escanear un código QR y vincular una sesión de WhatsApp Web en los servidores policiales, clonando los chats en tiempo real.
- Extracción de historial en Telegram: En otra operación, los agentes lograron autorizar un cliente web o dispositivo secundario en la cuenta del investigado, obteniendo acceso inmediato a meses de historial de mensajes antiguos almacenados en la nube de la plataforma.
- Sesiones paralelas en Signal: Aprovechando la vinculación de dispositivos en ordenadores o tabletas, los investigadores han podido replicar los chats entrantes y salientes sin levantar sospechas en la app principal.
Un debate legal al borde de los derechos fundamentales
Las actuaciones han encendido de inmediato las alarmas entre expertos en ciberseguridad y colectivos de derechos digitales. Instalar un «acceso por la puerta trasera» o vincular un cliente sin el conocimiento explícito del usuario bordea peligrosamente la ilegalidad si no existe una orden judicial específica para ello. La vulneración de la privacidad mediante el uso no autorizado de sesiones vinculadas abre un precedente turbulento sobre los límites de la investigación policial en el entorno digital.
