WhatsApp y Signal revelan su rutina diaria a quien tenga su número

Sus mensajes en WhatsApp y Signal van cifrados y nadie fuera del chat los lee. Esa parte funciona. Lo que sigue escapándose es la pequeña marca gris que avisa de la entrega: vuelve a una velocidad medible, y esa velocidad dice si tiene la pantalla encendida, si está en Wi-Fi o en datos móviles, cuántos dispositivos usa y a qué hora se acuesta. Puede recogerlo cualquiera que conozca su número de teléfono, y usted no recibe aviso alguno.

Cómo una marca se convierte en rastreador

Investigadores de la Universidad de Viena y de SBA Research describieron el mecanismo en un trabajo titulado Careless Whisper. Cabe en cuatro líneas.

1. El atacante envía a su número un mensaje que la aplicación procesa pero nunca muestra, por ejemplo una reacción que apunta a un identificador de mensaje inexistente.
2. Su teléfono lo descifra, concluye que no hay nada que mostrar y aun así devuelve obedientemente un acuse de entrega.
3. El atacante mide cuánto tardó ese acuse en volver.
4. Repetido varias veces por segundo, el registro de tiempos dibuja la curva de su día.

En su pantalla no aparece nada: ni notificación, ni chat nuevo, ni contador de no leídos. El trabajo lo compara con el SMS silencioso, la técnica con la que la policía localiza un terminal sin que su dueño se entere.

Qué delatan los tiempos

Un teléfono con la pantalla encendida responde más rápido que ese mismo aparato boca abajo sobre la mesa. En Wi-Fi la respuesta es distinta que con datos móviles. Un cliente de escritorio que acaba de conectarse contesta por su cuenta. Con eso los investigadores reconstruyeron el tiempo de pantalla al segundo, rutinas de trabajo, desplazamientos y también el número de dispositivos conectados a la cuenta junto con el sistema operativo de cada uno.

El mismo canal sirve como arma y no solo como sensor. Como los mensajes de sondeo pueden llevar cualquier carga útil, el equipo midió qué ocurre al enviarlos grandes y sin parar.

En Signal el cuadro es más suave. Las ráfagas cortas pasan, pero varios mensajes por segundo chocan con límites, y el equipo no consiguió vaciar de forma apreciable la batería de un teléfono de pruebas. El canal lateral de seguimiento sí existe allí; el agotamiento de recursos, no.

Threema se comportó distinto

Se probaron tres aplicaciones. Threema trata los acuses con la rigidez suficiente para que el sondeo silencioso no funcione: un desconocido solo puede provocar algo enviando un mensaje de texto normal y abriendo una conversación visible, que es justo lo contrario de discreto. Importa, porque demuestra que esto es una decisión de diseño y no una ley física. WhatsApp y Signal contestan a desconocidos por defecto; Threema no.

Qué hicieron los responsables

1. 5 de septiembre de 2024Los investigadores comunican los hallazgos a los contactos de seguridad de Meta y de la Signal Foundation.
2. 24 de septiembre de 2024Meta confirma la recepción y dice que el informe pasa al equipo de desarrollo. No llega respuesta de fondo.
3. 8 de agosto de 2025Casi un año después, Meta vuelve a comunicar que el informe se ha trasladado a ingeniería.
4. SignalNinguna respuesta, según el trabajo.

El trabajo enumera arreglos que cerrarían el agujero: dejar de mandar acuses a números con los que no hay conversación, permitir a quien lo desee desactivar el envío instantáneo, añadir algo de azar a los tiempos y validar el identificador de mensaje referenciado en vez de confirmar cualquier cosa. Ninguno ha llegado como cambio de protocolo. En diciembre de 2025 alguien publicó en GitHub una demostración funcional que convierte la técnica en un panel, y por ahí se enteró la mayoría. El comportamiento de fondo no ha cambiado desde entonces.

El punto débil es el número

Toda versión de este ataque empieza igual: el atacante teclea un número de teléfono. A la misma conclusión llegó un segundo estudio del mismo grupo vienés, presentado en NDSS 2026: el mecanismo de descubrimiento de contactos de WhatsApp admitía más de 100 millones de consultas por hora y confirmó 3500 millones de cuentas activas en 245 países. Meta ya ha mitigado ese fallo. La lección sobrevive al arreglo: en ambas plataformas su número de teléfono es a la vez dirección, credencial de acceso y clave de búsqueda.

Qué puede hacer hoy de verdad

De toda la lista, lo que de verdad conviene atender son los nombres de usuario. No reparan el canal lateral, pero le quitan al ataque aquello sin lo cual no arranca. Si nadie fuera de sus contactos puede alcanzarle por número, tampoco puede sondearle.