WhatsApp afirma que todas las conversaciones están protegidas con cifrado de extremo a extremo. Esta protección abarca los mensajes de texto, las llamadas de voz y el intercambio de archivos multimedia. Se basa en el protocolo Signal, de código abierto y auditado periódicamente por investigadores de seguridad. Sin embargo, el cifrado no cubre todas las capas de información relacionadas con el uso de la aplicación, por lo que quedan varias zonas grises que los ajustes predeterminados no resuelven.
Copias de seguridad de WhatsApp en la nube: el eslabón que el cifrado no protege
El cifrado de extremo a extremo se aplica a los mensajes que se envían entre dos dispositivos. En cuanto una copia de seguridad se sube a iCloud o Google Drive, queda fuera de ese ámbito de protección.
De forma predeterminada, las copias de seguridad en la nube no están cifradas de extremo a extremo. El proveedor de almacenamiento puede leerlas y, potencialmente, acceder a ellas si recibe una orden judicial o si la cuenta en la nube se ve comprometida.
WhatsApp ofrece una opción específica para cifrar estas copias de seguridad. El 30 de octubre de 2025, Meta anunció la incorporación de claves de acceso (huella dactilar, reconocimiento facial o bloqueo de pantalla) para proteger este proceso, con un despliegue gradual. La activación sigue siendo manual: hay que ir a Ajustes, luego a Chats, después a Copia de seguridad y activar el cifrado de extremo a extremo de la copia de seguridad.
Un aspecto que suele pasarse por alto es la privacidad de los datos en WhatsApp más allá del simple intercambio de mensajes: la copia de seguridad contiene una copia completa del historial, incluidas fotos y documentos. No cifrarla equivale a dejar una copia de todas las conversaciones en un servidor de terceros sin protección específica.
Metadatos de WhatsApp: lo que el cifrado no oculta
Meta no puede leer el contenido de los mensajes. Sin embargo, recopila y procesa los metadatos: números de teléfono de los contactos, fecha y hora de los intercambios, frecuencia de uso, datos del perfil y dirección IP durante las llamadas. Esta información permite elaborar un perfil detallado de uso.
La iniciativa europea Klicksafe recuerda que WhatsApp procesa estos metadatos de acuerdo con sus condiciones de uso. El cifrado protege el contenido, no el contexto de la comunicación. Saber quién habla con quién, a qué hora y desde qué ubicación geográfica aproximada ya permite trazar un mapa de relaciones que puede aprovecharse.
Protección de la dirección IP durante las llamadas
Durante una llamada de voz o vídeo, las direcciones IP de los participantes se intercambian de forma predeterminada. Esta información revela una ubicación aproximada. WhatsApp permite enrutar las llamadas a través de sus servidores para ocultar esa dirección: Ajustes, luego Privacidad, después Avanzada y, por último, activar «Proteger la dirección IP en las llamadas».
Este sistema de retransmisión reduce ligeramente la calidad del audio. El compromiso es aceptable para llamadas normales, pero conviene tener en cuenta que esta opción está desactivada de forma predeterminada.
Privacidad avanzada de los chats y límites concretos
Anunciada por WhatsApp el 23 de abril de 2025, la función de privacidad avanzada de los chats responde a un riesgo concreto: la difusión no deseada del contenido de una conversación. Impide exportar un chat y descargar automáticamente archivos multimedia.
Esta opción está pensada para grupos sensibles (grupos de apoyo, círculos profesionales reducidos). No es una función de cifrado, sino un control del uso del contenido una vez recibido.
Su principal limitación es técnica: nada impide que un participante fotografíe la pantalla o copie manualmente un mensaje. La función frena la difusión automatizada, pero no la difusión intencionada. La activación depende de cada usuario o del administrador del grupo.
Meta AI y acceso a las conversaciones de WhatsApp
La integración de Meta AI en WhatsApp plantea una pregunta directa: ¿lee el asistente las conversaciones privadas? Según las páginas de ayuda y las condiciones publicadas por Meta, el asistente solo accede a los mensajes que un usuario le envía directamente o en los que se le menciona explícitamente.
Por tanto, usar Meta AI es una acción voluntaria, independiente de la mensajería habitual. Las conversaciones entre usuarios no se transmiten a Meta AI sin una acción explícita.
La diferencia está en los chats de grupo: si un participante menciona a Meta AI en un grupo, el asistente accede al mensaje en cuestión. Los demás miembros del grupo deben tenerlo presente, aunque el cifrado de extremo a extremo siga protegiendo los intercambios entre personas dentro de ese mismo grupo.
Ajustes que conviene revisar para limitar la exposición
Además de los aspectos ya mencionados, conviene revisar periódicamente varios ajustes:
- La verificación en dos pasos añade un PIN de seis dígitos cada vez que se inicia sesión en un dispositivo nuevo. Se encuentra en Ajustes, luego Cuenta y, después, Verificación en dos pasos. Sin esta opción, un atacante que intercepte el SMS de verificación puede hacerse con el control de la cuenta.
- La visibilidad de la foto de perfil, el estado y la hora de última conexión puede limitarse solo a los contactos. De forma predeterminada, cualquier usuario de WhatsApp puede ver esta información, lo que facilita que desconocidos elaboren un perfil.
- El control de quién puede añadirte a grupos permite limitar quién puede agregar un número a un grupo. Ajustes, luego Privacidad y, después, Grupos: elige «Mis contactos» o «Mis contactos, excepto…» para evitar que te añadan sin tu consentimiento.
- Añadir una dirección de correo electrónico a la cuenta ofrece un método de recuperación adicional si se pierde el acceso, independiente del número de teléfono.
Normativa europea e intercambio de datos con Meta
La Ley de Mercados Digitales (DMA) impone a Meta obligaciones de interoperabilidad y transparencia en el tratamiento de datos. En el Espacio Económico Europeo, WhatsApp aplica una política de privacidad específica que regula el intercambio de datos con las demás entidades de Meta.
El intercambio de metadatos entre WhatsApp y Facebook o Instagram con fines publicitarios está sujeto a restricciones en Europa desde la entrada en vigor del RGPD y, posteriormente, de la DMA. Los usuarios europeos cuentan con un marco normativo más protector que el de otras regiones, pero la distinción entre los datos necesarios para el funcionamiento del servicio y los que se utilizan con fines comerciales sigue siendo objeto de disputas entre Meta y los organismos reguladores.
Los ajustes de privacidad de WhatsApp no sustituyen la necesidad de estar atento al ecosistema en su conjunto. Una cuenta de WhatsApp protegida que guarda copias de seguridad en una nube sin cifrar, vinculada a una cuenta de Meta sin restricciones para compartir datos, ofrece una protección parcial. La coherencia entre los ajustes de cada servicio sigue siendo el factor determinante.
