La risa va por barrios, como decía aquel. En este caso nos referimos a Telegram, la aplicación de mensajería que ha llegado a los dispositivos móviles esgrimiendo una mayor seguridad que muchos de sus rivales en el mercado, en especial WhatsApp. Pues bien, parece que este desarrollo tiene un agujero de seguridad.
Según indican nuestros compañeros de RedesZone, el problema afecta a la privacidad de los usuarios, por lo que no hablamos de un problema precisamente “menor”, ya que este es un aspecto clave para elegir app de mensajería tanto en el ámbito personal como en el profesional.
Por lo que parece, el fallo afecta a la comunicación entre servidor y cliente, ya que a la hora de establecer comunicación entre ambos se produce una vulnerabilidad de autenticación… por lo que esta puede ser ignorada por un tercero (al no verificarse en el servidor de Telegram la legitimidad de las claves públicas utilizadas). De esta forma, se podría llegar a tomar el control de la cuenta, suplantar la identidad e, incluso, acceder a los historiales.
El caso es que los investigadores que han detectado la vulnerabilidad, que llevan trabajando en ella desde hace un tiempo, ya han comunicado a Telegram el problema (aunque es ahora cuando se ha hecho público lo que ocurre con los informes correspondientes). Lo cierto es que debido a lo importante de lo ocurrido, a buen seguro que en breve se lanza una solución al respecto, pero es cierto que se deben tomar las precauciones necesarias para no tener problemas de seguridad.
Sea como fuere, lo ocurrido es un problema importante para Telegram, ya que afecta a uno de los apartados que ha esgrimido para diferenciarse con otros desarrollos similares: la seguridad. A la espera de que se solucione lo que ocurre, de los que os mantendremos perfectamente informados, parece que no sólo WhatsApp tiene algunos problema de funcionamiento… sus rivales tampoco se libran, como bien claro ha quedado.
Vía: RedesZone Fuente: INTECO.
Otras superficies de ataque en Telegram que debes conocer
Más allá del fallo descrito, existen funciones que pueden impactar en la exposición de datos. La característica “Personas cerca” permite descubrir usuarios cercanos y muestra la distancia en metros cuando ambos la tienen activada. Aunque viene desactivada por defecto, su uso puede facilitar triangulaciones de ubicación.
Investigadores han demostrado que, con técnicas de cálculo y herramientas externas como la conocida “Close-Circuit Telegram Vision (CCTV)”, es posible estimar ubicaciones con más precisión de la prevista usando la API pública. Telegram ha negado esa precisión, alegando que los datos del servidor son menos exactos, pero el escenario recomienda desactivar la función si no es imprescindible y verificar su estado periódicamente.
Privacidad por defecto, “Última conexión” y control de grupos
A diferencia de otros servicios, en Telegram el cifrado de extremo a extremo no está activo por defecto en todos los chats; se limita a los “chats secretos” personales. Los chats estándar, grupos y canales se almacenan en la nube de Telegram y se cifran con su protocolo MTProto (no estándar), lo que implica que la protección no equivale a un E2EE universal.
Otra fuente de exposición es el estado de “Última conexión”. Herramientas de terceros pueden registrar patrones de conexión si está visible, e incluso inferir interacciones entre usuarios. Mitiga el riesgo limitando quién puede ver tu estado desde Privacidad y seguridad, y considera ocultarlo por completo.
Telegram permite ocultar el número de teléfono tras un nombre de usuario, lo que aporta una capa extra frente a WhatsApp. Aun así, conviene ajustar quién puede añadirte a grupos (mejor “Mis contactos”) para frenar spam y altas no deseadas.
Telegram Web, archivos maliciosos y exploits multimedia
Investigaciones de firmas de seguridad han revelado vulnerabilidades en Telegram Web y en el manejo de archivos multimedia. Se han descrito casos en los que una imagen o vídeo aparentemente inocuo podía inyectar código o abrir acceso a datos locales de la sesión. Tras su reporte responsable, los equipos de las plataformas publicaron correcciones, por lo que es esencial actualizar el navegador y la app con frecuencia.
Como medidas de higiene digital, desactiva la descarga automática de multimedia, evita abrir archivos de remitentes desconocidos y activa la autenticación en dos pasos con contraseña adicional en Telegram. Para empresas, conviene monitorizar el tráfico y aplicar controles de seguridad perimetral para inspeccionar adjuntos.
Secuestro de cuentas por SMS (SS7) y cómo blindarte
Las debilidades del ecosistema de señalización móvil (SS7) han permitido durante años que actores avanzados intercepten códigos SMS y secuestren cuentas vinculadas a números de teléfono. En mensajería, un atacante podría validar su dispositivo como si fuera el tuyo.
Minimiza el riesgo evitando el SMS como segundo factor cuando exista alternativa, usando la protección adicional de Telegram (contraseña de verificación en dos pasos), revisando sesiones activas y cerrando accesos que no reconozcas.
Buenas prácticas para usuarios y organizaciones
- Actualiza siempre cliente móvil, de escritorio y Web; reinicia el navegador para aplicar parches.
- Activa la verificación en dos pasos con contraseña adicional y recuperaciones seguras (no solo SMS).
- Revisa “Personas cerca” y desactívala si no la necesitas; controla Última conexión.
- Desactiva descarga automática de multimedia y desconfía de archivos inesperados.
- Limita quién puede añadirte a grupos a “Mis contactos” y usa usuario en lugar de número.
- Evita clientes no oficiales; si los usas, descárgalos solo de tiendas oficiales y con reputación contrastada.
- Vigila robos de sesión por cookies: si sospechas compromiso, cierra sesión en todos los navegadores, cambia la contraseña y vuelve a iniciar sesión para invalidar tokens.
Para empresas: informa a empleados, define políticas para datos sensibles en mensajería, monitoriza archivos y enlaces, y valora canales alternativos si un fallo crítico está en explotación activa.
Sobre borrar, hacer copia y mitos frecuentes
Eliminar mensajes no garantiza su borrado inmediato de copias de seguridad del servidor. Para preservar tu información, usa el cliente de escritorio para exportar chats desde Configuración → Avanzado → Exportar datos, eligiendo HTML o JSON según necesites.
Circulan rumores sobre la eliminación remota de apps en iOS o Android; las tiendas no eliminan aplicaciones de los dispositivos de los usuarios de forma ordinaria. Descarga siempre desde fuentes oficiales y desconfía de supuestas campañas de donaciones o “clientes alternativos” que prometen seguridad milagrosa.
La foto fija es clara: Telegram ofrece funciones potentes y flexibles, pero su modelo de seguridad requiere ajustes conscientes por parte del usuario. Afinando la configuración de privacidad, aplicando doble factor, siendo prudente con funciones de geolocalización y manteniendo todo actualizado, puedes reducir de forma notable tu superficie de ataque.