Lista de seguridad de Signal

Mucho del trabajo de organización comunitaria pasa en grupos de Signal sin verificar, donde no sabes cuánto puedes confiar en cada quien. Estos grupos pueden ser infiltrados por adversarios de derecha y los policías.

Usar un nombre falso evita que alguien encuentre tu identidad real con una búsqueda en Google.

Usar una foto que no sea tu cara evita que alguien encuentre tus perfiles en redes sociales por coincidencia de imagen o reconocimiento facial.

Ambos pasos te ayudan a defenderte del doxxing y del acoso en línea.

Lo mismo aplica con aún más fuerza en redes sociales. Si tu perfil de Instagram, Facebook o LinkedIn muestra tu nombre real completo junto con una foto clara de tu cara, quienes te ataquen pueden identificarte fácilmente aunque el resto de tu perfil sea privado. Mira Asegura tus redes sociales para más info.

Recuérdales a las personas de tus grupos que hagan esto también. La seguridad es un trabajo de equipo.

Si instalaste Signal antes de marzo de 2024, cuando introdujeron los nombres de usuario, puede que tu número de teléfono siga siendo visible para otras personas.

Esto te protege de ciertos ataques. Pero asegúrate de revisar bien la URL a la que te están enviando para ver si es de un sitio que te sientes cómode abriendo.

Contexto técnico: En 2025 se publicó un ataque que le permite a quien lo usa estimar tu ubicación con un margen de unas 250 millas.

Por defecto, las llamadas de Signal se conectan directamente entre tú y la otra persona. Esto significa que el dispositivo de la otra persona puede ver tu dirección IP. Con una orden judicial dirigida a tu proveedor de internet, tu dirección IP puede usarse para identificarte específicamente.

Activar "Always Relay Calls" hace que tus llamadas pasen por los servidores de Signal, ocultando tu dirección IP a la otra persona. (Si ya usas una VPN, tu dirección IP ya está oculta.)

La mejor mejora que puedes hacer al usar Signal es asegurarte de que los mensajes que desaparecen estén activados por defecto. La mayoría de activistas con quienes hablamos no han activado esto por defecto. (Y la mayoría olvida activarlo manualmente en cada chat nuevo.)

Esto te mantiene a salvo a ti y a otras personas. No sabemos a quién le van a confiscar el teléfono los cops. Aunque creamos que estamos hablando de cosas perfectamente legales, los cops pueden encontrar formas de tergiversar nuestras palabras para intentar armarnos un caso por disentir

Hay dos cosas que vigilar en relación con los mensajes que desaparecen:

1. Primero, cambia tu configuración predeterminada para que cualquier chat que inicies tenga esta función activada.
2. Segundo, asegúrate de que esté activado en los chats que otras personas inician: si alguien más inicia el chat, puede que no tenga los mensajes que desaparecen activados. Quizás necesites activarlo tú.

Eligiendo el tiempo de tus mensajes que desaparecen: El tiempo que configures depende de qué tan sensibles sean tus mensajes. Una pregunta que puedes hacerte es: "si le confiscan o hackean el dispositivo a alguien, ¿qué tan importante es que estos mensajes no sean accesibles?"

• Para charlas de bajo riesgo con amistades, puedes elegir 4 semanas.
• Para organización política habitual, puedes elegir 1 semana.
• Para una acción directa, puedes configurarlo en 1 día, 1 hora o 5 minutos, para que los mensajes desaparezcan antes de que empiece la acción.

Si te confiscan el teléfono, hay dos formas en que los cops pueden acceder a tu historial de notificaciones:

1. Pueden ver las notificaciones en tu pantalla de inicio sin desbloquear el teléfono.
2. Si usan herramientas de hacking, pueden acceder al registro de notificaciones que ha recibido tu teléfono. (Ejemplo del caso Prairieland.)

Esto solo aplica a los mensajes entrantes. Y es un riesgo incluso después de que el mensaje haya desaparecido de Signal (si tienes activados los mensajes que desaparecen).

Para que sepas: Si quieres borrar el registro de notificaciones que iOS ya guardó, la única forma es restablecer tu teléfono de fábrica y configurarlo como uno nuevo — no desde una copia de seguridad, ya que estas incluyen el historial de notificaciones.

• Screen Lock: Si le pasas tu teléfono a alguien mientras está desbloqueado, esto hace que tengan que volver a usar el rostro, huella o PIN para abrir Signal.
• Hide in App Switcher: Esto oculta tus mensajes cuando cambias entre aplicaciones.

Esto evita que la policía vea tu historial de llamadas de Signal si te confiscan el teléfono.

Si los cops te confiscan el teléfono, uno de los mayores riesgos es exponer a toda tu red. Aunque la gente no use su nombre real en su cuenta de Signal, sigue existiendo un ID único detrás de cada nombre de usuario de Signal. Y los cops pueden usar esto para correlacionar la identidad de alguien entre varios dispositivos incautados.

Necesitas salir Y borrar el grupo:

• Si solo sales del grupo, los mensajes antiguos quedan en tu teléfono, junto con el historial de quiénes estaban en el grupo.
• Si solo borras el grupo, los nuevos mensajes seguirán llegando y la conversación vuelve a aparecer.

Consejos de higiene de seguridad:

• Pon un recordatorio recurrente para limpiar tus conversaciones de Signal cada 3 meses.
• Asegúrate de anotar de qué grupos estás saliendo y a quién le puedes pedir que te vuelva a agregar después de la acción.

Nota: Si este proceso te parece muy molesto y engorroso (¡porque lo es!), esa es otra buena razón para usar un teléfono secundario para las acciones. Ese teléfono solo estaría en uno o dos grupos necesarios para llevar a cabo la acción ese día.

Si alguien muy motivado logra averiguar tu número de teléfono, puede intentar apoderarse de él mediante algo llamado "SIM Swapping" o llamando a tu compañía telefónica para iniciar un "port" del número a otro proveedor. Luego podrían usar tu número de teléfono para registrar una cuenta de Signal y empezar a recibir mensajes dirigidos a ti.

Estos son ataques avanzados que no le pasan a la mayoría de la gente. Aun así, es fácil proteger tu cuenta de Signal.

Puedes protegerte activando el bloqueo de registro en Signal. Evita que alguien secuestre tu cuenta, incluso si te roban el número de teléfono. Nadie podrá registrar una nueva cuenta de Signal con tu número hasta que tu cuenta haya estado inactiva por 7 días.

Si olvidas tu PIN, tendrás que esperar 7 días antes de poder crear una cuenta nueva (y tus contactos no se recuperarán). Más sobre los PIN y el bloqueo de registro.

En Android, el teclado predeterminado puede registrar lo que escribes.

Google y Apple no han dejado claro cuándo sus herramientas de IA envían nuestra información privada (como los mensajes de Signal) fuera de nuestro dispositivo a sus servicios. Si se envían a sus servidores, corren el riesgo de ser accedidos mediante una orden judicial del gobierno.

Por lo que entendemos, estas funciones de IA por ahora solo resumen las notificaciones. Pero por cómo van las cosas, podrían volverse más invasivas.

Lee nuestro artículo sobre ¿Apple Intelligence está leyendo mis mensajes de Signal?

Cada vez hay más mensajes falsos de "Signal Support" que intentan secuestrar tu cuenta.

Usa estos ejemplos para estar atente a mensajes falsos de Signal.

Recuerda: Signal nunca te va a pedir que les envíes tu PIN ni tu código de verificación. Solo te lo pedirá cuando estés instalando la app por primera vez en un dispositivo.

Lee más sobre estafas y phishing en Signal.

Aquí van algunos ejemplos de mensajes de estafa:

¿Cuánto tarda en descifrarse un código de acceso?

Nota: Estos tiempos solo aplican a teléfonos. Las computadoras se pueden descifrar mucho más rápido y necesitan contraseñas mucho más fuertes.

Fuentes: Las estimaciones en la tabla de arriba asumen los intentos por segundo observados en el mundo real con las herramientas forenses de hackeo que usan los cops. Si necesitas más seguridad, usa un código de acceso de 10 dígitos, que te protegerá incluso en los peores escenarios posibles de descifrado. Mira las fuentes enlazadas en las preguntas frecuentes sobre códigos de acceso aquí.

Cada vez que sale una nueva actualización del sistema operativo, se están corrigiendo fallos de seguridad. Cada actualización que no has instalado representa una lista más larga de formas en que la cana puede hackear tu dispositivo. Piénsalo como un edificio grande con cada vez más puertas sin llave.

Si tu sistema operativo no está actualizado, muchas de las otras recomendaciones de esta guía no van a proteger tus datos.

Empieza por tu teléfono. Si estás haciendo algo de mayor riesgo, asegúrate de actualizar todos tus dispositivos.

Advertencia: El desbloqueo facial y por huella digital te permiten usar contraseñas más fuertes sin tener que escribirlas todo el tiempo. Si tienes que elegir, es mejor tener un código de acceso más largo que desactivar el desbloqueo facial/por huella digital.

El spyware mercenario es un ataque sumamente avanzado que aprovecha vulnerabilidades sofisticadas en nuestros dispositivos. En respuesta, Apple y Google han creado un modo de seguridad avanzado que ofrece mayor protección contra el spyware.

En los iPhone se llama Modo Aislamiento y en Android se llama Programa de Protección Avanzada. (También puedes activar el Programa de Protección Avanzada solo en tu cuenta de Google aunque no tengas un teléfono Android.)

No tenemos reportes de nadie que se haya infectado con spyware teniendo activado el Modo Aislamiento de Apple. La Protección Avanzada de Android es más reciente y todavía no se ha podido comprobar qué tan efectiva es.

Signal cifra tus mensajes para que solo tú y la otra persona puedan leerlos. Pero en teoría, un atacante sofisticado podría colocarse entre tú y tu contacto, interceptando los mensajes antes de pasarlos. Esto se conoce como un ataque de "intermediario" o "man-in-the-middle". Los números de seguridad te permiten confirmar que tu conexión cifrada va directo a tu contacto, sin que nadie se meta en el medio.

La mayoría de la gente no necesita hacer esto. Si estás chateando con amistades sobre organización del día a día, el cifrado de Signal ya está haciendo su trabajo. Pero si estás comunicándote sobre algo de alto riesgo (acciones directas, asuntos legales delicados, periodistas hablando con una fuente), verificar los números de seguridad vale la pena el paso extra.

Piénsalo como un sello de cera en un sobre. El cifrado es el sello, pero un atacante sofisticado podría romperlo, leer el contenido y volver a sellarlo con su propia cera. Verificar los números de seguridad es la forma de confirmar que nadie cambió el sello.