He leído la noticia de que la Eurocámara recomienda encarecidamente a los eurodiputados usar Signal en vez de WhatsApp, y me he decidido a escribir este post para intentar aclarar por qué es uno mucho más privado que el otro.
Vamos a ello:
Si has estado al día en temas de privacidad digital durante la última década, habrás escuchado el mismo mantra repetirse una y otra vez: "WhatsApp usa cifrado de extremo a extremo, igual que Signal. Tus mensajes son privados".
Es una narrativa sencilla y directa pero, profundamente engañosa. Que dos coches tengan el mismo tipo de cerradura no significa que sus fabricantes tengan el mismo interés en proteger lo que llevas dentro.
Aquí está la cruda realidad: Signal y WhatsApp viven en universos paralelos en cuanto a privacidad, a pesar de compartir base tecnológica. La diferencia no está solo en el qué (el cifrado), sino en el cómo, el por qué y, lo más importante, el para quién.
1. El Conflicto: Filosofía vs. Negocio
Esta es la raíz de toda la discusión. No es un detalle técnico, es la razón de ser de cada plataforma.
- Signal: Es una fundación sin ánimo de lucro. Su misión, escrita en sus estatutos, es "desarrollar tecnología de código abierto para la protección de la privacidad y la libertad de expresión". Se financia con donaciones. Sus únicos "accionistas" son sus usuarios y su privacidad.
- WhatsApp: Es un activo más de Meta (Facebook), una de las máquinas de afinar perfiles de usuario, publicidad y recolección de datos más grandes del mundo. Su modelo de negocio depende de saberlo todo sobre ti para monetizar tu atención. La privacidad del usuario es, por diseño, un obstáculo para su negocio.
Imagina confiarle la llave de tu casa a un cerrajero independiente (Signal) frente a confiársela a una corporación cuyo negocio es registrar y vender el inventario de lo que tienes dentro (WhatsApp/Meta).
2. El Mito del Cifrado Idéntico
Es cierto. Ambos usan el excelente Signal Protocol. Pero la implementación lo es todo.
- Signal es el creador. Su código es 100% abierto (cliente y servidor), permitiendo auditorías continuas e independientes. El cifrado E2EE está activado por defecto para TODO: chats, grupos, llamadas de voz y vídeo. No hay botón para desactivarlo.
- WhatsApp es el licenciatario. Su código es mayormente cerrado. ¿Implementan el protocolo exactamente como Signal? No podemos estar 100% seguros. Y lo más crítico: crean puertas traseras legítimas al cifrado.
La gran brecha: Las copias de seguridad en la nube.
WhatsApp, por defecto, guarda tus copias de seguridad en Google Drive o iCloud sin cifrado E2EE. Esto significa que tus mensajes, aunque cifrados en tránsito, se almacenan en texto plano en los servidores de otro gigante tecnológico, accesibles con una orden judicial (o de Donald Trump) o en caso de brecha. Signal, en cambio, solo hace copias de seguridad locales cifradas en tu dispositivo.
3. Los Metadatos, la joya de la corona
El cifrado E2EE protege el contenido de tu mensaje ("Quedamos a las 8"). Pero los metadatos son la otra mitad de la historia: ¿Quién habla con quién, cuándo, desde dónde y con qué frecuencia?
- Signal: Aplica una política de " conocimiento cero" sobre tus metadatos. No almacena registros de tus contactos, con quién te comunicas, tu ubicación IP o tus horarios. Toda esa información reside y muere en tu dispositivo.
- WhatsApp: Recoge y almacena una mina de oro de metadatos en los servidores de Meta. Saben tu grafo social completo, tus patrones de actividad, el modelo de tu teléfono, tu dirección IP, y mucho más. Según su política de privacidad, estos datos se comparten con Meta para "operar, proporcionar, mejorar, entender, personalizar, apoyar y comercializar nuestros Servicios". Traducción: para perfeccionar el perfil que Meta tiene de ti y mostrarte publicidad más dirigida en sus otras plataformas.
Un gobierno o un actor malintencionado puede no poder llegar a leer tu mensaje, pero con los metadatos de WhatsApp puede perfectamente mapear toda una red de contactos y patrones de comportamiento.
El contenido es el "qué", pero los metadatos son el "quién, cuándo y dónde" que a menudo es igual o más valioso.
Como se suele decir, lo malo no es la tecnología sino el uso que se hace de ella. Es simple, si aprecias tu privacidad. No uses WhatsApp.
En GrayHats ayudamos a las organizaciones a crear una estrategia de ciberseguridad acorde las necesidades y objetivos de las empresas.
Javier Jiménez.
Director General y CISO en GrayHats.
© Grayhats | Blog