Lista de seguridad de WhatsApp

Las copias de seguridad que WhatsApp crea por defecto en iCloud o Google Drive NO tienen cifrado de extremo a extremo. Eso significa que un tribunal puede obligar a Apple o Google a entregar todo tu historial de chats. Aunque tus mensajes se enviaron de forma segura, la copia de seguridad echa por tierra esa protección al facilitar que se revele todo tu historial de chats.

Desactivar las copias de seguridad también te protege si alguien hackea tu cuenta de iCloud o Google mediante phishing o una contraseña reutilizada.

Si de verdad necesitas hacer copias de seguridad, revisa Cómo respaldar tus chats de WhatsApp de forma segura para hacerlo sin riesgos.

Por defecto, cualquier persona con la que hayas intercambiado mensajes puede ver cuándo estuviste por última vez en WhatsApp. Para quienes hacemos activismo, esa es una forma fácil de que alguien mapee tus patrones de actividad.

Activar la configuración estricta de cuenta activa varias protecciones a la vez. Es una buena opción por defecto para cualquier persona que haga activismo.

Activar los mensajes temporales por defecto te mantiene a ti y a tus contactos más seguros si un teléfono llega a ser confiscado o vulnerado. No sabemos a quién le van a quitar el teléfono los cops. Aunque creas que estás hablando de cosas totalmente legales, el gobierno puede encontrar formas de tergiversar tus palabras.

Las opciones de WhatsApp son 24 horas, 7 días o 90 días. 7 días es una buena opción por defecto, y luego puedes establecer manualmente un tiempo más corto para conversaciones más sensibles.

Ten en cuenta que las discusiones sobre temas políticos o estratégicos pueden ser vigiladas por actores de extrema derecha, sobre todo en grupos o canales usados para comunicación o movilización masiva donde no controlas del todo quién entra.

Evita decir cualquier cosa en WhatsApp que no publicarías abiertamente en redes sociales.

Si estás planeando acciones sensibles con gente de confianza, usa Signal.

Para quienes hacemos activismo, Meta AI es una herramienta de recolección de datos disfrazada de asistente útil. Todo lo que le preguntes sobre tu organización, tus contactos, tus ubicaciones o tus planes queda guardado, perfilado y potencialmente expuesto a la policía.

Etiquetar a @MetaAI en un chat grupal mete los mensajes de alrededor en los sistemas de Meta, aunque solo querías hacer una pregunta rápida. Una vez que Meta AI entra en la conversación, ese historial ya no queda solo entre las personas del chat.

Para mantener a Meta AI fuera de chats grupales específicos, activa también Privacidad avanzada del chat en esos chats.

¿Qué son los "Dispositivos vinculados"? WhatsApp te permite usar tu cuenta en otros dispositivos (una computadora, una tablet, un segundo teléfono) vinculándolos con un código QR o un código de vinculación. La mayoría de la gente nunca usa esta función. Mira la explicación oficial de WhatsApp si quieres más contexto.

Los atacantes se dieron cuenta de que pueden engañarte para que vincules su dispositivo a tu cuenta. Si un sitio web o alguien desconocido te guía para "verificar" ingresando un código en WhatsApp, eso no es verificación. Eso es darles acceso completo a tus chats. El mismo truco funciona con códigos QR.

Entonces: nunca ingreses un código de vinculación ni escanees un código QR de WhatsApp porque un sitio web o una persona te lo pidió. Solo escanea un código QR de WhatsApp cuando tú mismo acabas de abrir WhatsApp Web o Desktop.

Puedes revisar tu cuenta en cualquier momento. Mira Revisa los dispositivos vinculados con regularidad.

Tu PIN de WhatsApp y el código de verificación de 6 dígitos que WhatsApp te envía por mensaje son las llaves de tu cuenta. Cualquiera que los consiga puede apoderarse de ella.

Nunca compartas estos códigos con nadie, por ningún motivo. Esto aplica incluso si la persona dice ser de "WhatsApp Support" o "WhatsApp Security". WhatsApp nunca te va a enviar un DM, llamar ni mandar un mensaje pidiéndote tu PIN o código de verificación. Si alguien te lo pide, es un intento de phishing.

Han aumentado los mensajes falsos que dicen ser de "WhatsApp Support" y que intentan robarte la cuenta de esta forma. Si no estás segure de que un mensaje sea legítimo, no respondas, no toques ningún enlace y no ingreses ningún código. En vez de eso, contacta a WhatsApp desde la sección de Ayuda dentro de la app.

La Privacidad avanzada del chat es una opción que se activa por chat, y bloquea la exportación, desactiva la descarga automática de archivos y bloquea las funciones de Meta AI en ese chat específico.

Tienes que activarla en cada chat sensible. No se puede configurar de forma automática para todos los chats.

A menos que un admin del grupo haya limitado los ajustes solo a los admins, puedes activar esto en grupos donde seas miembro regular, lo que ayuda a proteger la privacidad de todes.

Las fotos y videos que recibes en WhatsApp pueden terminar en más lugares de los que crees. Por defecto, WhatsApp puede guardarlos directamente en tu galería, y iCloud o Google Photos los respaldarán en la nube automáticamente.

Eso significa que imágenes sensibles (videos de protestas, fotos de organizadores, cualquier cosa que pueda exponer a tu comunidad) y sus metadatos (como el lugar y la hora en que se tomó la foto) pueden quedarse en una cuenta de Google o Apple donde los cops las pueden pedir con una orden judicial. Borrar después cada copia se vuelve mucho más difícil.

Mucha de la organización comunitaria sucede en grupos sin filtrar de WhatsApp, donde no sabes cuánto puedes confiar en cada persona del grupo. Estos grupos pueden ser infiltrados por adversarios de derecha y por los cops.

Usar un nombre falso o solo tu primer nombre evita que alguien encuentre tu identidad real con una búsqueda en Google. Usar una foto que no sea tu cara evita que alguien encuentre tus perfiles en redes sociales mediante búsqueda de imágenes o reconocimiento facial. Ambos pasos te ayudan a defenderte del doxxing y del acoso en línea.

Recuérdale a la gente de tus grupos que haga lo mismo. La seguridad es cosa de todes.

WhatsApp te permite compartir tu ubicación en tiempo real con una persona o grupo por un tiempo determinado. Es fácil activarla y olvidarte de ella, sobre todo si empezaste a compartirla con alguien hace horas.

Para activistas, una ubicación en tiempo real activa es un mapa directo de tus movimientos que cualquiera en el chat puede ver.

La opción más segura es dejar los respaldos completamente desactivados (ver Desactivar los respaldos de chats de WhatsApp). Activa los respaldos solo si realmente los necesitas, por ejemplo si vas a cambiar de dispositivo o cruzar una frontera y necesitas borrar WhatsApp temporalmente.

Si necesitas respaldos, activa el respaldo cifrado de extremo a extremo que WhatsApp trae incorporado. Sin esto, se puede obligar a Google o Apple a entregarle todo tu historial de chats a los cops.

Si tienes un grupo de organización, la configuración del grupo importa tanto como tu configuración personal.

La privacidad del chat grupal es tan fuerte como la del integrante menos seguro. Si una persona es infiltrada o tiene un dispositivo comprometido, todo lo que esté en el chat puede quedar expuesto. Apoya a tu grupo para que sigan las normas juntes.

WhatsApp tiene una función más reciente llamada Comunidades que te permite crear un grupo principal con varios subgrupos.

El beneficio para quienes organizan es que las Comunidades tienen una función de "privacidad del número de teléfono" para que los demás miembros no puedan ver los números de teléfono entre sí.

Si manejas un grupo grande de organización en WhatsApp, considera migrar a una Comunidad para reducir el riesgo de que otros miembros o infiltrades hagan doxxing a la gente del grupo.

El spyware mercenario es un ataque sumamente avanzado que aprovecha vulnerabilidades sofisticadas en nuestros dispositivos. En respuesta, Apple y Google han creado un modo de seguridad avanzado que ofrece mayor protección contra el spyware.

En los iPhone se llama Modo Aislamiento y en Android se llama Programa de Protección Avanzada. (También puedes activar el Programa de Protección Avanzada solo en tu cuenta de Google aunque no tengas un teléfono Android.)

No tenemos reportes de nadie que se haya infectado con spyware teniendo activado el Modo Aislamiento de Apple. La Protección Avanzada de Android es más reciente y todavía no se ha podido comprobar qué tan efectiva es.

Cada vez que sale una nueva actualización del sistema operativo, se están corrigiendo fallos de seguridad. Cada actualización que no has instalado representa una lista más larga de formas en que la cana puede hackear tu dispositivo. Piénsalo como un edificio grande con cada vez más puertas sin llave.

Si tu sistema operativo no está actualizado, muchas de las otras recomendaciones de esta guía no van a proteger tus datos.

Empieza por tu teléfono. Si estás haciendo algo de mayor riesgo, asegúrate de actualizar todos tus dispositivos.

Advertencia: El desbloqueo facial y por huella digital te permiten usar contraseñas más fuertes sin tener que escribirlas todo el tiempo. Si tienes que elegir, es mejor tener un código de acceso más largo que desactivar el desbloqueo facial/por huella digital. Si dejas la biometría activada, asegúrate de saber cómo desactivarla rápido si vas a entrar en una situación de alto riesgo (mira los tips abajo).

¿Cuánto tarda en descifrarse un código de acceso?

Nota: Estos tiempos solo aplican a teléfonos. Las computadoras se pueden descifrar mucho más rápido y necesitan contraseñas mucho más fuertes.

Fuentes: Las estimaciones en la tabla de arriba asumen los intentos por segundo observados en el mundo real con las herramientas forenses de hackeo que usan los cops. Si necesitas más seguridad, usa un código de acceso de 10 dígitos, que te protegerá incluso en los peores escenarios posibles de descifrado. Mira las fuentes enlazadas en las preguntas frecuentes sobre códigos de acceso aquí.

Meta lanzó hace poco una función en la app de Facebook que envía todas las imágenes de tu biblioteca de fotos a sus servidores para procesarlas. Esto es una violación grave de la privacidad y puede representar un riesgo legal para activistas.

Meta (la empresa matriz que también es dueña de WhatsApp) ha dicho que este tipo de función no existe en WhatsApp. Aun así, vale la pena desactivar el acceso amplio a las fotos en WhatsApp, ya que la empresa lanzó exactamente esa función en Facebook.

Si te confiscan el teléfono, tu historial de notificaciones puede revelar el contenido de los mensajes y los nombres de quienes los envían, incluso después de que los mensajes mismos hayan desaparecido. Mira el caso de Prairieland para entender por qué esto importa.

Apple solucionó el problema que hacía que las notificaciones entrantes de Signal se guardaran incluso después de desactivar los mensajes, en iOS/iPadOS 26.4.2 (y en la rama de mantenimiento anterior 18.7.8). Aunque solucionaron ese problema, no está claro si los teléfonos Android siguen teniendo la misma debilidad, así que vale la pena ocultar las vistas previas en cualquiera de las dos plataformas.

Apple Intelligence y los resúmenes de notificaciones de Android pueden enviar partes de tus notificaciones a servidores en la nube. No queda del todo claro qué se envía ni a dónde, y esos datos podrían ser exigidos mediante una solicitud del gobierno.

Tenemos un artículo sobre este tema relacionado con Signal. El mismo razonamiento aplica para WhatsApp: ¿Apple Intelligence está leyendo mis mensajes de Signal?

La función multidispositivo de WhatsApp es una de las principales vías para que alguien tome el control de tu cuenta. Te engañan para que escanees un código QR o ingreses un código de vinculación, y su computadora puede empezar a ver todos los mensajes que envías y recibes.

Esa misma infraestructura multidispositivo también ha sido usada por spyware mercenario para atacar a periodistas y organizadores. Mira nuestra página sobre spyware para más información.