- Les apps de missatgeria acumulen vulnerabilitats tècniques, metadades excessives i errors humans que poden derivar en filtracions massives i escàndols.
- WhatsApp, Signal i altres solucions de consum no ofereixen els controls ni el compliment necessaris per a sectors crítics, sanitaris, legals o governamentals.
- Les organitzacions han de migrar cap a plataformes de missatgeria empresarials amb xifratge robust, control de claus, auditoria i sobirania de dades.
- La combinació de ferramentes adequades, actualitzacions, formació i bones pràctiques individuals redueix dràsticament el risc en la comunicació digital.
Les aplicacions de missatgeria s'han convertit en el centre de la nostra vida digital : coordinem la feina, organitzem plans amb amics, enviem documents sensibles o fins i tot detalls mèdics i financers. Aquest ús massiu, però, ha deixat al descobert una realitat incòmoda: com més depenem d'aquestes eines, més atractives es tornen per als ciberdelinqüents i més greu és qualsevol errada de disseny o error humà.
En els últims anys s'han destapat debilitats greus a WhatsApp , Signal, Telegram i altres plataformes , així com incidents sonats a governs, empreses i organitzacions sanitàries que demostren que un “simple xat” pot acabar en sancions milionàries, filtracions massives de dades o autèntics escàndols polítics. Al llarg d'aquest article desgranarem, amb calma però sense draps calents, per què aquestes eines no són innòcues, quins riscos reals impliquen i quines alternatives i bones pràctiques hi ha per minimitzar el desastre.
Vulnerabilitats massives a WhatsApp i la fragilitat dels números de telèfon
Un dels episodis recents més cridaners va ser el descobert per un equip d' investigadors de la Universitat de Viena i SBA Research , que van trobar una debilitat de gran escala al mecanisme de detecció de contactes de WhatsApp. Aquesta funcionalitat, dissenyada per comprovar quins números de la teva agenda usen l'app, es va convertir en una porta d'entrada ideal per a l' scraping massiu de comptes.
Gràcies a aquesta debilitat, els investigadors van demostrar que era possible consultar més de 100 milions de números de telèfon per hora a través de la infraestructura de WhatsApp, fins a enumerar uns 3.500 milions de comptes actius a 245 països. El sistema responia a una quantitat de peticions descomunal des d'una mateixa font, quan allò raonable seria que les rebutgés o limités. Aquest comportament va ser precisament el que va deixar en evidència la decisió.
De cada número validat, un atacant podia extreure dades públiques associades al perfil de WhatsApp : claus públiques, marques de temps, missatge d'estat, foto de perfil i creuant aquesta informació, fins i tot el sistema operatiu, l'antiguitat del compte o el nombre de dispositius vinculats. Tot i que Meta va afirmar que va solucionar la vulnerabilitat i que no va tenir impacte per als usuaris, és extremadament complicat provar que ningú la va explotar en silenci abans que es publiqués la investigació.
Tal com apuntava Luis Corrons, expert en seguretat, un atacant acurat realitzaria el rastreig lentament i distribuït entre moltes IP , barrejant-se amb el trànsit normal i esquivant la detecció. La troballa, a més, va revelar que al voltant de la meitat dels números filtrats al gran scraping de Facebook del 2021 seguien actius a WhatsApp, posant de manifest que el número de telèfon funciona, a la pràctica, com un identificador gairebé permanent.
La gran lliçó d'aquest episodi és que hauríem de tractar el número de telèfon com una contrasenya i no com una dada trivial . Configurar WhatsApp perquè només els contactes vegin la foto i el text d'informació, evitar publicar el mòbil principal a webs públics i valorar un número específic per a anuncis o negocis són petits passos que redueixen molt l'exposició.
Privadesa i metadades: el costat fosc dels xats “gratuïts”
Més enllà de vulnerabilitats concretes, les aplicacions de missatgeria arrosseguen un problema estructural: recopilen una enorme quantitat de dades personals i metadades . Fins i tot quan el contingut està xifrat d'extrem a extrem, la informació sobre qui parla amb qui, quan des d'on i amb quin dispositiu pot ser or pur per a atacants i per a qualsevol que vulgui fer perfilats massius.
En el cas de WhatsApp, es recopilen de manera sistemàtica números de telèfon de tots els contactes, dades del dispositiu, patrons d'ús, membres de grups , fotos de perfil, missatges d'estat, adreces IP, dades d'ubicació i fins i tot informació de pagaments on la funció està disponible. Amb aquestes peces es poden reconstruir xarxes socials i professionals, mapes de relació interns duna empresa, hàbits de viatge o fins i tot jerarquies organitzatives.
Moltes organitzacions, portades per la urgència o per l'estalvi de costos, han buscat refugi en apps per a consumidors com ara WhatsApp, Telegram o Signal per coordinar tasques sensibles en sectors crítics, governamentals o empresarials. Tot i això, el que a primera vista sona a solució barata i coneguda sol amagar costos ocults: pèrdua de control sobre les dades, incompliments regulatoris , violacions de confidencialitat i, en el pitjor dels casos, bretxes amb un impacte reputacional devastador.
Un altre punt delicat és el de les còpies de seguretat al núvol . Encara que els missatges estiguin xifrats durant l'enviament, moltes aplicacions fomenten còpies en serveis de tercers, que no sempre respecten el mateix nivell de xifratge i que es poden convertir en la baula feble. Una còpia al núvol mal protegit pot anul·lar de cop tot el benefici del xifratge d'extrem a extrem.
Riscos de ciberseguretat a l'escriptori: Electron, claus i codi maliciós (malware)
Quan passem de la versió mòbil a les versions descriptori, la cosa es complica encara més. La gran majoria de clients de missatgeria de sobretaula estan construïts sobre Electron, un framework que encapsula una aplicació web dins un navegador Chromium . Això és molt còmode per als desenvolupadors, perquè els permet crear una app “nativa” per a diversos sistemes operatius alhora, però implica arrossegar de sèrie les vulnerabilitats de Chromium.
Chrome i Chromium són, literalment, objectius prioritaris per als ciberdelinqüents . Els seus errors s'investiguen i exploten amb rapidesa, i Google sol respondre amb pegats freqüents. El problema és que els programes basats en Electron no sempre actualitzen el motor integrat al mateix ritme, de manera que una fallada ja corregida al navegador pot seguir viu durant mesos en un client de missatgeria d'escriptori.
A això s'hi afegeix un risc molt delicat: les claus de xifratge de les converses s'emmagatzemen al disc dur de l'ordinador . Si algú aconsegueix comprometre l'equip amb codi maliciós (malware), és molt més factible robar aquestes claus en un escriptori que en un mòbil, on l'arquitectura del sistema i els mecanismes de seguretat fan més difícil l'accés remot a aquest tipus de secrets.
Convé no oblidar, finalment, el paper dels missatgers com a canal de distribució darxius maliciosos . Mentre que davant d'un adjunt de correu o una descàrrega web sol haver-hi cert nivell de sospita, molts usuaris baixen sense pensar-s'ho dues vegades un arxiu que arriba per un xat, sobretot si ho envia un suposat company en una eina venuda com a “segura”. Aquest excés de confiança és justament el que busquen els atacants.
Errors humans d'alt nivell: del grup equivocat a l'escàndol polític
Més enllà de les qüestions tècniques, hi ha un factor impossible de pedagar amb programari: els errors humans en l'ús de les aplicacions . Tots hem enviat mai un missatge al grup equivocat, des d'un comentari fora de lloc fins a un cor mal dirigit al cap. Normalment queda en una anècdota vergonyosa, però quan es barregen missatgeria i assumptes sensibles, l'embolic pot escalar a dimensions històriques.
Un cas paradigmàtic va ser el del xat a Signal d'alts càrrecs de l'Administració de Donald Trump , en què es coordinaven operacions militars contra els hutís al Iemen. El conseller de Seguretat Nacional, Mike Waltz, va afegir per error Jeffrey Goldberg, director de la revista The Atlantic, a un grup anomenat “Petit grup de contacte sobre els huties”, donant accés a informació sobre l'hora exacta dels atacs i l'armament a emprar.
En aquesta conversa apareixien noms com el vicepresident JD Vance, el secretari de Defensa Pete Hegseth, la directora d?intel·ligència Tulsi Gabbard, el secretari d?Estat Marco Rubio o el director de la CIA John Ratcliffe, entre d?altres. La famosa frase “em vaig equivocar de xat” va passar de xafardell a exemple mundial de la temeritat de discutir secrets militars en un xat xifrat però sense controls formals.
Inicialment, Trump va intentar minimitzar-lo assegurant que no es va compartir informació classificada ni rellevant per a la seguretat nacional, i el seu equip va acusar la revista de tenir una agenda política. Tot i això, davant la pressió, The Atlantic va decidir publicar el contingut íntegre del grup perquè fos l'opinió pública qui valorés la gravetat de l'assumpte, destapant a més comentaris despectius sobre els aliats europeus que ja havien sortit en altres cims.
L'incident va disparar comparacions amb el cas de Hillary Clinton i el seu ús del correu privat, i va revifar el debat sobre fins a quin punt les eines de missatgeria instantània són adequades per tractar informació d'alt secret , per molt xifrades que hi siguin. La moralitat és clara: el xifratge protegeix de l'espionatge extern, però no corregeix decisions imprudents ni errors de destinatari.
Phishing, suplantacions i segrest de comptes de WhatsApp
Un altre camp on les aplicacions de missatgeria s'han convertit en terreny de caça per als delinqüents és el de la suplantació d'identitat i el phishing . Campanyes que abans es limitaven al correu electrònic ara es distribueixen també per SMS, WhatsApp o altres canals, amb missatges que fingeixen ser notificacions legítimes per aconseguir que lusuari faci clic on no ha de.
Un exemple típic és el correu que aparenta venir de WhatsApp i que us convida a “fer una còpia de seguretat dels vostres missatges i el vostre historial de trucades” a través d'un enllaç. Quan punxeu, en lloc d'una còpia de seguretat, l'usuari descarrega programari maliciós que pot robar dades, controlar el compte o fins i tot infectar el dispositiu de manera persistent.
En els darrers mesos s'ha observat també un augment d'intents de segrest de comptes de WhatsApp usant enginyeria social. Aprofitant dades personals recopilades de fuites prèvies o xarxes socials, l'atacant es fa passar per un conegut, pel servei tècnic o per una entitat de confiança i convenç la víctima perquè li faciliti el codi de verificació rebut per SMS.
Aquest codi, que moltes apps (incloent-hi banca, xarxes socials i sistemes d'autenticació tipus SMS-ID) utilitzen com a segona capa de seguretat , és la clau mestra. Compartir-ho, encara que sigui “perquè ho demana un amic”, equival a lliurar a la safata el control del compte. Un cop a dins, el delinqüent es pot fer passar per la víctima per demanar diners, accedir a converses prèvies o ampliar l'atac a altres serveis vinculats al mateix número.
Davant d'aquest tipus d'amenaces, la recepta passa per reforçar la conscienciació i la higiene bàsica de seguretat : desconfiar de missatges inesperats que demanen codis o contrasenyes, activar sistemes addicionals de verificació (com el PIN de verificació en dos passos de WhatsApp) i revisar periòdicament quins dispositius tenen sessió iniciada al nostre compte.
Riscos en entorns sanitaris i corporatius: per què no val “qualsevol WhatsApp”
En organitzacions com el Servei de Salut de les Illes Balears , la missatgeria instantània s'ha convertit en una eina imprescindible per a comunicacions ràpides entre professionals, però això no significa que es pugui fer servir qualsevol app que tinguem al mòbil personal. L'elecció de l'eina condiciona directament la confidencialitat de les dades de pacients i el compliment legal.
Per aquest motiu, en aquest entorn s'ha optat per utilitzar Microsoft Teams com a aplicació corporativa de missatgeria , deixant clar que les comunicacions instantànies entre el personal sanitari s'han de fer únicament mitjançant aquesta plataforma. Teams s'integra a l'ecosistema Office 365, que disposa de solucions de seguretat específiques per mitigar ransomware, suplantació d'identitat, fugida d'informació i amenaces associades a URLs i arxius maliciosos.
Alhora, s'insisteix en la importància de mantenir totes les aplicacions actualitzades i utilitzar contrasenyes robustes , per reduir la finestra d'exposició davant de vulnerabilitats conegudes. La formació a usuaris és clau: entendre que cada retard a actualitzar o cada contrasenya feble obre oportunitats a potencials atacants.
En l'àmbit sanitari, i en qualsevol altra organització subjecta a normes estrictes com HIPAA, GDPR, SOX o requisits de defensa, les apps de missatgeria pensades per al gran públic solen mancar controls empresarials essencials : administració centralitzada d'usuaris, polítiques de retenció, traçabilitat completa d'accés, prevenció de fuita de dades o integració amb sistemes de gestió.
Els casos reals abunden: des d'hospitals sancionats amb multes milionàries per permetre l'ús de WhatsApp per coordinar pacients, fins a despatxos d'advocats on l'ús de Signal amb clients va portar a dubtes sobre el manteniment del privilegi advocat-client ia demandes per mala praxi. Aquestes situacions deixen clar que, per molt temptador que sigui aprofitar una app popular, el preu a pagar pot ser enorme.
Salt Typhoon, infraestructures crítiques i els límits de la missatgeria de consum
Els atacs atribuïts a grups com Salt Typhoon contra grans proveïdors de telecomunicacions han posat en relleu la fragilitat de la infraestructura de comunicacions sobre la qual recolzen governs, empreses i serveis crítics. Davant d'aquesta sensació de vulnerabilitat, moltes organitzacions han recorregut, gairebé per reflex, a apps de missatgeria per a consumidors com a solució ràpida per “assegurar” les converses internes.
El problema és que aquestes eines, encara que ofereixin millor protecció que els SMS o el correu sense xifrar , no estan dissenyades per al nivell d'exigència que requereixen comunicacions d'alt valor estratègic. Solen concentrar la infraestructura en uns quants centres de dades del proveïdor, cosa que crea punts únics de fallada i objectius molt sucosos per a atacants i per a pressions legals de governs estrangers.
A nivell regulador, moltes d'aquestes plataformes no encaixen bé amb requisits específics de sectors sensibles , com ara les obligacions d'arxivat i auditoria en finances, les retencions legals en litigis o les restriccions de sobirania de dades en contractes governamentals. Utilitzar-les per tractar informació subjecta a aquestes normes és jugar-se que, tard o d'hora, arribi una inspecció o un incident que destapi l'incompliment.
Al terreny de la sobirania de dades, a més, l'ús de serveis globals implica que la informació pot acabar emmagatzemada en jurisdiccions amb lleis d'accés molt diferents , o fins i tot contradictòries amb la normativa local. Això obre la porta tant a la recopilació d'intel·ligència per part de tercers estats com a batalles legals complexes sobre quina legislació s'aplica a cada tros d'informació.
Per tot això, les organitzacions que gestionen infraestructures crítiques o informació molt sensible necessiten solucions pensades des del principi per a la seva realitat: arquitectura de coneixement zero, clau de xifrat sota control del client , desplegaments on premis o híbrids que garanteixin sobirania de dades i un conjunt complet de funcions d'auditoria, retenció, integració i autenticació avançada.
Cellcrypt i les plataformes empresarials: un enfocament diferent de la seguretat
Davant les limitacions de les apps generalistes, han anat guanyant terreny plataformes dissenyades específicament per a comunicacions empresarials i governamentals segures , com és el cas de Cellcrypt. Aquestes solucions parteixen d'una clara premissa: el proveïdor no ha de poder llegir el contingut ni acumular més metadades de les estrictament imprescindibles.
Cellcrypt adopta una arquitectura de coneixement zero amb xifrat d'extrem a extrem i control de claus per part del client . Això es complementa amb xifrat postquantic de doble capa, basat en algorismes estandarditzats per NIST, pensat per resistir tant atacs actuals com futurs escenaris de “capturar ara i desxifrar després” quan la computació quàntica sigui una amenaça realista.
En entorns on es manegen secrets d'estat o informació de defensa, aquest tipus de solucions compta amb aprovacions d'organismes com l'OTAN i certificacions governamentals , a més d'auditories externes que validen el disseny i la implementació. No és només una qüestió de tecnologia, sinó de demostrar, amb papers i proves, que es compleixen els estàndards més exigents.
Des del costat de l'administració, plataformes d'aquest estil ofereixen gestió centralitzada d'usuaris, control d'accés basat en rols, proveïment i retirada remota de dispositius , aplicació de polítiques de seguretat i eines d'auditoria i reporting que permeten documentar qui va accedir a què, quan i des d'on, imprescindible en sectors regulats.
Pel que fa al desplegament, les opcions són molt flexibles: des d'instal·lacions a la pròpia infraestructura del client per a un control total de les dades, fins a models al núvol o híbrids que permeten equilibrar rapidesa d'adopció, escalabilitat i sobirania . A nivell funcional, s'inclouen trucades de veu i vídeo xifrades, missatgeria i xats de grup, intercanvi d'arxius i pantalla protegits, i mesures extra com a bloqueig de captures, esborrat remot o geotanques per limitar l'ús en determinades ubicacions.
Perquè aquesta transició sigui viable, se sol plantejar una estratègia en fases: auditoria de l'ús actual de missatgeria, definició de polítiques, pilots controlats, desplegament gradual i aplicació efectiva que inclogui la prohibició explícita d'apps de consum per a comunicacions sensibles. Sense aquest component normatiu i formatiu, amb la tecnologia per si sola no n'hi ha prou.
Bones pràctiques per a usuaris i recursos per continuar aprenent
A nivell individual, hi ha una sèrie de pautes que qualsevol persona pot aplicar per reduir la seva exposició en utilitzar aplicacions de missatgeria. El primer és tractar el número de telèfon i els codis que arriben per SMS com a credencials sensibles que no s'han de compartir mai , encara que qui ho demani sembli un amic, un tècnic o la pròpia aplicació.
Convé revisar la configuració de privadesa de cada app per limitar qui veu la foto de perfil, la descripció, l'última hora de connexió o el perfil públic. Com menys informació estigui a l'abast de qualsevol, més difícil serà per a un atacant elaborar un engany convincent o vincular el nostre número amb altres dades filtrades.
A l'apartat tècnic, és fonamental mantenir els dispositius protegits amb antivirus actualitzats i sistemes operatius al dia , a més de desconfiar de qualsevol enllaç o fitxer que arribi de forma inesperada, fins i tot si procedeix d'un contacte conegut (el vostre compte també pot haver estat compromès). Pensar-ho dues vegades abans de prémer ens pot estalviar molts disgustos.
Hi ha recursos molt útils elaborats per organismes com l'INCIBE: infografies per crear contrasenyes robustes, blocs sobre els errors més freqüents dels usuaris , guies per identificar intents de pesca i butlletins especialitzats sobre correu electrònic, gestors de contrasenyes o la forma correcta de reportar fraus en línia. Són materials clars, pensats per al gran públic, que ajuden a incorporar la ciberseguretat al dia a dia.
A nivell organitzatiu, combinar una eina corporativa adequada (Teams, solucions xifrades empresarials tipus Cellcrypt, etc.) amb formació periòdica en bones pràctiques i un seguiment d'eines d'accés remot i serveis al núvol no autoritzats permet reduir molt el marge de maniobra d'atacants i descuits interns. No es tracta de viure amb por, sinó de ser conscients que, amb unes quantes mesures raonables, la majoria de desastres es poden evitar.
Tot el que hem vist demostra que les aplicacions de missatgeria són tan potents com delicades: faciliten la vida, però qualsevol fallada tècnica o humana pot tenir conseqüències molt serioses en termes de privadesa, compliment i seguretat. Avaluar quina eina fem servir per a cada tipus de conversa, limitar al màxim l'exposició de les nostres dades i apostar per solucions empresarials quan la informació ho exigeix és la millor manera de continuar gaudint de la immediatesa del xat sense convertir-lo en el nostre taló d'Aquil·les digital.
