Lista de seguridad de WhatsApp

Las copias de seguridad que WhatsApp crea por defecto en iCloud o Google Drive NO tienen cifrado de extremo a extremo. Eso significa que un tribunal puede obligar a Apple o Google a entregar todo tu historial de chats. Aunque tus mensajes se enviaron de forma segura, la copia de seguridad echa por tierra esa protección al facilitar que se revele todo tu historial de chats.

Desactivar las copias de seguridad también te protege si alguien hackea tu cuenta de iCloud o Google mediante phishing o una contraseña reutilizada.

Si de verdad necesitas hacer copias de seguridad, revisa Cómo respaldar tus chats de WhatsApp de forma segura para hacerlo sin riesgos.

Por defecto, cualquier persona con la que hayas intercambiado mensajes puede ver cuándo estuviste por última vez en WhatsApp. Para quienes hacemos activismo, esa es una forma fácil de que alguien mapee tus patrones de actividad.

Activar la configuración estricta de cuenta activa varias protecciones a la vez. Es una buena opción por defecto para cualquier persona que haga activismo.

Activar los mensajes temporales por defecto te mantiene a ti y a tus contactos más seguros si un teléfono llega a ser confiscado o vulnerado. No sabemos a quién le van a quitar el teléfono los cops. Aunque creas que estás hablando de cosas totalmente legales, el gobierno puede encontrar formas de tergiversar tus palabras.

Las opciones de WhatsApp son 24 horas, 7 días o 90 días. 7 días es una buena opción por defecto, y luego puedes establecer manualmente un tiempo más corto para conversaciones más sensibles.

Ten en cuenta que las discusiones sobre temas políticos o estratégicos pueden ser vigiladas por actores de extrema derecha, sobre todo en grupos o canales usados para comunicación o movilización masiva donde no controlas del todo quién entra.

Evita decir cualquier cosa en WhatsApp que no publicarías abiertamente en redes sociales.

Si estás planeando acciones sensibles con gente de confianza, usa Signal.

Para quienes hacemos activismo, Meta AI es una herramienta de recolección de datos disfrazada de asistente útil. Todo lo que le preguntes sobre tu organización, tus contactos, tus ubicaciones o tus planes queda guardado, se usa para armar tu perfil y podría terminar en manos de la policía.

Si etiquetas a @MetaAI en un chat grupal, los mensajes de alrededor terminan en los sistemas de Meta, aunque solo quisieras hacer una pregunta rápida. Una vez que Meta AI entra en la conversación, ese historial ya no queda solo entre las personas del chat.

Para mantener a Meta AI fuera de chats y grupos específicos, activa también la privacidad avanzada del chat en esos chats.

¿Qué son los "Dispositivos vinculados"? WhatsApp te permite usar tu cuenta en otros dispositivos (una computadora, una tablet, un segundo teléfono) vinculándolos con un código QR o un código de vinculación. La mayoría de la gente nunca usa esta función. Mira la explicación oficial de WhatsApp si quieres más contexto.

Los atacantes se dieron cuenta de que pueden engañarte para que vincules su dispositivo a tu cuenta. Si un sitio web o alguien desconocido te guía para "verificar" ingresando un código en WhatsApp, eso no es verificación. Eso es darles acceso completo a tus chats. El mismo truco funciona con códigos QR.

Entonces: nunca ingreses un código de vinculación ni escanees un código QR de WhatsApp porque un sitio web o una persona te lo pidió. Solo escanea un código QR de WhatsApp cuando tú mismo acabas de abrir WhatsApp Web o Desktop.

Puedes revisar tu cuenta en cualquier momento. Mira Revisa los dispositivos vinculados con regularidad.

Tu PIN de WhatsApp y el código de verificación de 6 dígitos que WhatsApp te envía por mensaje son las llaves de tu cuenta. Cualquiera que los consiga puede apoderarse de ella.

Nunca compartas estos códigos con nadie, por ningún motivo. Esto aplica incluso si la persona dice ser de "WhatsApp Support" o "WhatsApp Security". WhatsApp nunca te va a enviar un DM, llamar ni mandar un mensaje pidiéndote tu PIN o código de verificación. Si alguien te los pide, es un intento de phishingPhishingUna estafa que te engaña para que entregues tu contraseña y tu código de verificación en dos pasos. Muchas veces parece un mensaje real de alguien de confianza, como un correo falso de Google o un mensaje falso del "Soporte de Signal".Más información: EFF Surveillance Self-Defense.

Han aumentado los mensajes falsos que dicen ser de "WhatsApp Support" y que intentan robarte la cuenta de esta forma. Si no estás segure de que un mensaje sea legítimo, no respondas, no toques ningún enlace y no ingreses ningún código. En vez de eso, contacta a WhatsApp desde la sección de Ayuda dentro de la app.

El Chat restringido se activa chat por chat. Cuando está activado, nadie en ese chat puede:

• Exportar el chat
• Guardar automáticamente en su galería las fotos y videos del chat
• Usar las funciones de Meta AI en el chat
• Abrir el chat en un dispositivo vinculado, como WhatsApp Web, WhatsApp Desktop o una tablet

La idea es mantener a los agentes de IA y las apps no oficiales de WhatsApp fuera de tus chats. Estas herramientas se conectan a la cuenta de WhatsApp de alguien como un dispositivo vinculado. Si alguien en tu grupo conectó una, puede leer todos los chats de su cuenta, incluido el de tu grupo. Al activar el Chat restringido, ya no pueden leer ese chat. También ayuda si alguien engaña a una persona del chat para que vincule el dispositivo del atacante a su cuenta (mira Revisa con regularidad la lista de Dispositivos vinculados de WhatsApp).

Tienes que activarlo en cada chat sensible. No se puede activar automáticamente para todos los chats, y solo puedes cambiarlo desde tu teléfono principal.

Las fotos y videos que recibes en WhatsApp pueden terminar en más lugares de los que crees. Por defecto, WhatsApp puede guardarlos directamente en tu galería, y iCloud o Google Photos los respaldarán en la nube automáticamente.

Eso significa que imágenes sensibles (videos de protestas, fotos de organizadores, cualquier cosa que pueda exponer a tu comunidad) y sus metadatos (como el lugar y la hora en que se tomó la foto) pueden quedarse en una cuenta de Google o Apple donde los cops las pueden pedir con una orden judicial. Borrar después cada copia se vuelve mucho más difícil.

Mucha de la organización comunitaria pasa en grupos de WhatsApp sin verificar, donde no sabes qué tanto puedes confiar en todas las personas del grupo. Estos grupos pueden ser infiltrados por adversarios de derecha y por la policía.

Usar un nombre falso o solo tu primer nombre evita que alguien descubra tu identidad real con una búsqueda en Google. Usar una foto que no muestre tu cara evita que alguien encuentre tus redes sociales con una búsqueda por imagen o con reconocimiento facial. Ambos pasos te ayudan a protegerte del doxxing y del acoso en línea.

Recuérdales a las personas de tus grupos que también lo hagan. La seguridad es cosa de todes.

Ahora WhatsApp te deja elegir un nombre de usuario. Cuando tu nombre de usuario esté activo, quienes no tengan tu número guardado verán tu nombre de usuario en vez de tu número. También puedes darle a alguien tu nombre de usuario en vez de tu número cuando quieras conectar.

Esto importa sobre todo en grupos de organización grandes o donde no conoces bien a todes, porque pueden infiltrarse personas con malas intenciones. Tu número de teléfono es una de las formas más fáciles de averiguar quién eres.

WhatsApp está activando los nombres de usuario país por país. Si todavía no están activos donde vives, igual puedes reservar uno ahora para tenerlo listo cuando lleguen.

WhatsApp te permite compartir tu ubicación en tiempo real con una persona o grupo por un tiempo determinado. Es fácil activarla y olvidarte de ella, sobre todo si empezaste a compartirla con alguien hace horas.

Para activistas, una ubicación en tiempo real activa es un mapa directo de tus movimientos que cualquiera en el chat puede ver.

La opción más segura es dejar los respaldos completamente desactivados (ver Desactivar los respaldos de chats de WhatsApp). Activa los respaldos solo si realmente los necesitas, por ejemplo si vas a cambiar de dispositivo o cruzar una frontera y necesitas borrar WhatsApp temporalmente.

Si necesitas respaldos, activa el respaldo cifrado de extremo a extremo que WhatsApp trae incorporado. Sin esto, se puede obligar a Google o Apple a entregarle todo tu historial de chats a los cops.

Si administras un grupo de organización, la configuración del grupo importa tanto como tu configuración personal.

La privacidad de un chat grupal depende de su integrante menos seguro. Si una persona es infiltrada o tiene un dispositivo comprometido, todo lo que hay en el chat puede quedar expuesto. Apoya a tu grupo para que sigan juntes las normas acordadas.

WhatsApp tiene una función más reciente llamada Comunidades que te permite crear un grupo principal con varios subgrupos.

El beneficio para quienes organizan es que las Comunidades tienen una función de "privacidad del número de teléfono" para que los demás miembros no puedan ver los números de teléfono entre sí.

Si manejas un grupo grande de organización en WhatsApp, considera migrar a una Comunidad para reducir el riesgo de que otros miembros o infiltrades hagan doxxing a la gente del grupo.

El spyware es un tipo de ataque avanzado que aprovecha vulnerabilidades sofisticadas en nuestros dispositivos. En respuesta, Apple y Google han creado un modo de seguridad avanzado que ofrece mayor protección contra el spyware.

En los iPhone se llama Modo Aislamiento y en Android se llama Programa de Protección Avanzada. (También puedes activar el Programa de Protección Avanzada solo en tu cuenta de Google aunque no tengas un teléfono Android.)

No tenemos reportes de nadie que se haya infectado con spyware teniendo activado el Modo Aislamiento de Apple. La Protección Avanzada de Android es más reciente y todavía no se ha podido comprobar qué tan efectiva es.

Cada vez que sale una nueva actualización del sistema operativo, se están corrigiendo fallas de seguridad. Cada actualización que no has instalado representa una lista más larga de formas en que la policía puede hackear tu dispositivo. Piénsalo como un edificio grande con cada vez más puertas sin llave.

Si tu sistema operativo no está actualizado, muchas de las otras recomendaciones de esta guía no protegerán tus datos.

Empieza por tu teléfono. Si estás haciendo algo de mayor riesgo, asegúrate de actualizar todos tus dispositivos.

Advertencia: El desbloqueo facial y por huella digital te permiten usar contraseñas más fuertes sin tener que escribirlas todo el tiempo. Si tienes que elegir, es mejor tener un código de acceso más largo que desactivar el desbloqueo facial/por huella digital. Si dejas la biometría activada, asegúrate de saber cómo desactivarla rápido si vas a entrar en una situación de alto riesgo (mira los tips abajo).

¿Cuánto tarda en descifrarse un código de acceso?

Nota: Estos tiempos solo aplican a teléfonos. Las computadoras se pueden descifrar mucho más rápido y necesitan contraseñas mucho más fuertes.

Fuentes: Las estimaciones en la tabla de arriba asumen los intentos por segundo observados en el mundo real con las herramientas forenses de hackeo que usan los cops. Si necesitas más seguridad, usa un código de acceso de 10 dígitos, que te protegerá incluso en los peores escenarios posibles de descifrado. Mira las fuentes enlazadas en las preguntas frecuentes sobre códigos de acceso aquí.

Meta lanzó hace poco una función en la app de Facebook que envía todas las imágenes de tu biblioteca de fotos a sus servidores para procesarlas. Esto es una violación grave de la privacidad y puede representar un riesgo legal para activistas.

Meta (la empresa matriz que también es dueña de WhatsApp) ha dicho que este tipo de función no existe en WhatsApp. Aun así, vale la pena desactivar el acceso amplio a las fotos en WhatsApp, ya que la empresa lanzó exactamente esa función en Facebook.

Si te confiscan el teléfono, tu historial de notificaciones puede revelar el contenido de los mensajes y los nombres de quienes los envían, incluso después de que los mensajes mismos hayan desaparecido. Mira el caso de Prairieland para entender por qué esto importa.

Apple solucionó el problema que hacía que las notificaciones entrantes de Signal se guardaran incluso después de desactivar los mensajes, en iOS/iPadOS 26.4.2 (y en la rama de mantenimiento anterior 18.7.8). Aunque solucionaron ese problema, no está claro si los teléfonos Android siguen teniendo la misma debilidad, así que vale la pena ocultar las vistas previas en cualquiera de las dos plataformas.

Apple Intelligence y los resúmenes de notificaciones de Android pueden enviar partes de tus notificaciones a servidores en la nube. No queda del todo claro qué se envía ni a dónde, y esos datos podrían ser exigidos mediante una solicitud del gobierno.

Tenemos un artículo sobre este tema relacionado con Signal. El mismo razonamiento aplica para WhatsApp: ¿Apple Intelligence está leyendo mis mensajes de Signal?

La función multidispositivo de WhatsApp es una de las principales vías para que alguien se apodere de tu cuenta. Los atacantes te engañan para que escanees un código QR o ingreses un código de vinculación, y así su computadora empieza a ver todos los mensajes que envías y recibes.

Esa misma infraestructura multidispositivo también la han usado empresas de spyware mercenario para atacar a periodistas y organizadores. Consulta nuestra página sobre spyware para saber más.

Para tus chats y grupos más sensibles, activa la privacidad avanzada del chat: así esos chats no aparecen en ningún dispositivo vinculado y, si alguien se apodera de uno, no podrá leerlos.