- La televisión estatal de Irán recomendó a la población eliminar WhatsApp
- El gobierno iraní afirmó que WhatsApp entrega información de los usuarios a Israel, pero no presentó pruebas concretas
- WhatsApp negó estas acusaciones y destacó el cifrado de extremo a extremo
- Expertos señalaron la exposición de metadatos no cifrados y los problemas de soberanía de los datos
- En Irán existe oficialmente una política de bloqueo de redes sociales, pero el uso de vías alternativas como VPN continúa
Contexto de la solicitud del gobierno iraní para eliminar WhatsApp
- La televisión estatal iraní instó a la población a eliminar la aplicación de WhatsApp de sus smartphones
- El gobierno planteó sospechas de que WhatsApp recopila información de los usuarios y la envía a Israel, pero no hizo públicas pruebas concretas que respalden esa afirmación
Postura de WhatsApp y contexto técnico
- WhatsApp declaró que le preocupa que “estos reportes falsos puedan usarse como pretexto para bloquear el servicio cuando la población más lo necesita”
- Recalcó que usa cifrado de extremo a extremo (end-to-end encryption), por lo que ni WhatsApp ni otros proveedores del servicio pueden leer los mensajes
- Explicó que “no rastrea ni registra la ubicación precisa, el historial completo de uso del mensajero ni el contenido de los mensajes privados, y no entrega información masiva a los gobiernos”
- El cifrado de extremo a extremo es un método que cifra los mensajes de forma que nadie excepto el remitente y el destinatario pueda descifrarlos, por lo que para terceros solo queda texto cifrado sin sentido
Opinión de expertos técnicos
- El profesor Gregory Falco de Cornell University mencionó que sí es posible analizar metadatos que no están cifrados en WhatsApp
- El análisis de metadatos implica riesgo de exposición de algunos datos, como patrones de uso de la app
- Otro problema es la soberanía de los datos. Los centros de datos de WhatsApp pueden no estar ubicados en el país correspondiente; por ejemplo, los datos de WhatsApp de Irán podrían no almacenarse dentro de Irán
- Subrayó que “los países deben almacenar sus datos dentro de sus fronteras y procesarlos directamente con sus propios algoritmos para reducir los problemas de confianza en las redes globales”
Situación del acceso a redes sociales en Irán
- WhatsApp es propiedad de Meta Platforms (matriz de Facebook e Instagram)
- Irán ha bloqueado diversas plataformas de redes sociales durante años, pero gran parte de la población sigue accediendo mediante servidores proxy, VPN y otros métodos de evasión
- Durante las protestas masivas de 2022, se bloqueó el acceso a WhatsApp y Google Play, pero luego se levantó el bloqueo a finales de 2023
- Junto con Instagram y Telegram, WhatsApp era una de las aplicaciones de mensajería más populares en Irán
1 comentarios
Opinión de Hacker News
Lo que más me llamó la atención fue el juego de palabras en la postura oficial de Meta “No rastreamos la ubicación exacta de los usuarios, no mantenemos un registro de con quién se envían mensajes todos los usuarios, no rastreamos los mensajes privados entre usuarios. No proporcionamos información masiva a los gobiernos”, y esa frase me hizo ruido
Si uno se pone a pensar bien en cómo está redactado, da la impresión de que sí rastrean la ubicación aproximada, sí guardan registros de mensajes grupales y sí entregan cierta información cuando hay solicitudes gubernamentales
Yo personalmente conozco a alguien que trabajó en Meta Parte del personal ahí estaba en equipos que construían herramientas para exportar grandes volúmenes de datos en respuesta a solicitudes del gobierno No sé exactamente qué gobiernos tenían qué nivel de acceso, ni si en la práctica se usaba para perseguir terroristas o para hostigar periodistas Pero la exportación masiva sí existía, y que públicamente lo nieguen lo vuelve todavía más sospechoso
Sobre la parte de “no mantenemos un registro de con quién se envían mensajes todos” si citas el FAQ de WhatsApp, dicen que, como parte del servicio, no almacenan los mensajes en sus servidores después de ser entregados, y que los mensajes no entregados se borran tras 30 días Pero en la política de privacidad de WhatsApp también se indica que pueden recopilar, conservar y compartir información si consideran que es necesario para la seguridad de los usuarios, para responder a actividades ilegales, solicitudes legales y gubernamentales, o para hacer cumplir sus políticas Eso incluye “información sobre cómo algunos usuarios interactúan entre sí dentro del servicio” O sea, en contradicción con lo que afirman oficialmente, también podrían estar guardando registros de quién se comunica con quién
Esta empresa ya antes tuvo el antecedente de instalar un listener en localhost en Android para rastreo web incluso en modo incógnito Yo más bien sospecho que en realidad esta empresa rastrea todo con alta precisión y que, en el futuro, hasta podría hacer MITM al contenido de los mensajes Ahora que incluso empezaron a meter publicidad, me parece todavía más probable
Yo no lo veo solo en clave conspirativa “No rastreamos la ubicación exacta” se puede interpretar como que, si guardan la IP, entonces no es cierto que no almacenen nada de ubicación La parte de “no mantenemos registros de quién le envía mensajes a quién” sí suena como una afirmación bastante fuerte En cuanto a “no rastreamos mensajes privados”, sospecho que en cuentas de empresa muchas veces se diseña para que varias personas puedan acceder sin cifrado e2e Y “no proporcionamos información masiva a los gobiernos” se puede leer como que en realidad la entregan por partes cuando llega una orden judicial o una solicitud legal Viéndolo en conjunto, WhatsApp sería “e2e, pero fuera de eso un SaaS bastante típico” Si de verdad necesitas privacidad, recomendaría usar Signal
Tengo la impresión de que este asunto es una maniobra de un régimen en crisis, al borde del colapso al menos en lo militar, para salir del paso Tal vez estén nerviosos por la posibilidad de que activistas antigubernamentales se organicen por WhatsApp, y quieran empujar a la gente hacia canales alternativos más fáciles de vigilar Si Irán supiera desde hace tiempo que Meta hacía este tipo de cosas, entonces surge la pregunta de por qué recién ahora recomiendan borrarlo Si fuera un problema de seguridad realmente grave, lo normal sería responder de inmediato Y si recién se dieron cuenta ahora, también cuesta imaginar cómo obtuvieron esa información en medio del caos de una campaña de bombardeos generalizada El momento resulta muy sospechoso
Esto también transmite un mensaje para forzar la unidad nacional y el marco del “enemigo público” Un dictador quiere que la población crea que Israel o Estados Unidos no solo son enemigos de ellos, sino de toda la nación
O también existe la perspectiva de que, tras ser arrastrados injustamente a una guerra y atacados por un tercer país apoyado por Estados Unidos (Israel), están en una situación donde harán lo que sea para sobrevivir Incluso mientras había negociaciones, Estados Unidos ayudó al ataque israelí, así que surge la duda de cómo confiar en una app de una empresa estadounidense como Meta
Yo creo que esa es la razón real La cúpula está prácticamente neutralizada o escapando, y los principales supervivientes también están escondidos en búnkeres En un momento así es cuando más se oye que esta es la oportunidad perfecta para una sublevación Los kurdos y otros grupos ya están empezando a prepararse
La especulación conspirativa de que WhatsApp hace MITM a chats con cifrado end-to-end no tiene mucho sustento En la práctica, sí existe una vía mucho más clara para el acceso gubernamental WhatsApp empuja con fuerza a que los usuarios hagan backup de sus chats en iCloud o Google Drive Esos backups, por defecto, no están cifrados o están cifrados con claves que Meta posee La mayoría de los usuarios deja la configuración predeterminada Con iMessage pasa algo parecido: si activas los backups de iCloud y la nube, todos los mensajes se suben con claves a las que Apple puede acceder Para elevar de verdad la seguridad de una conversación, ambos usuarios tienen que salirse de la configuración por defecto, y si el incentivo es suficiente siempre se puede usar Signal
Hay casos reales en los que Israel ha usado metadatos de WhatsApp para apuntar contra palestinos Según este artículo, construyeron una “máquina de objetivos” usando IA y machine learning Por ejemplo, si en un grupo de WhatsApp había militantes conocidos, o si alguien cambiaba regularmente de teléfono y de dirección, aumentaba el riesgo de ser marcado Solo con metadatos ya se puede seleccionar objetivos
Israel ni siquiera necesita que tengas instalado WhatsApp La Unit 8200 de las FDI puede hackear la mayoría de los celulares dentro de Irán Y si no, productos de empresas privadas de spyware como NSO Group bastan de sobra Explicación de Unit 8200, información sobre NSO Group, panorama de empresas cibernéticas israelíes
Según un colega mío que viene de Irán, casi todas las computadoras usan la misma versión crackeada de Windows XP traducida al persa Están extremadamente expuestas a vulnerabilidades de seguridad
Tengo dudas sobre cómo se podría enviar SMS “invisibles” no autorizados a gran escala a redes de otro país Sé que existen OMA DM, actualizaciones FOTA, binarios de acceso remoto preinstalados por operadoras estadounidenses y cosas así, pero una implantación masiva y sigilosa es técnicamente difícil Por mi experiencia haciendo ingeniería inversa, creo que al final el operador celular del país objetivo terminaría detectándolo
Yo creo que esto es, en realidad, una excusa que el régimen iraní usa para unir a la población y prevenir un golpe Últimamente el heredero del trono iraní (la dinastía Pahlavi) ha estado activo en redes sociales, difundiendo con fuerza mensajes sobre el colapso del régimen actual y promesas de libertad En internet ya abundan tanto los rumores como los deseos de que el régimen se derrumbe Lo que más teme el liderazgo es que la gente aproveche este momento para derrocarlo En el fondo, el mensaje de “borren WhatsApp para que Israel no los encuentre” también lleva oculto otro significado: “no compartan los mensajes de libertad del rey”
Pero no borren Signal, quizá hasta se abra una sala de estrategia secreta
En esta polémica me sorprendió que el régimen iraní estuviera preocupado por el intercambio de información con Israel, y en realidad me parece más probable que una vulnerabilidad 0-day de WhatsApp pudiera ser explotada por el Mossad o similares
No sé si lo que afirma Irán sea cierto, pero en la práctica siempre queda esa incomodidad de no saber exactamente qué registran estas apps El cifrado end-to-end protege el contenido, pero no los metadatos El verdadero problema es que todos terminamos dependiendo de conjeturas Cuesta imaginar quién podría tener verdadera certeza sobre esto
Si hay alguien dentro de Irán, me da curiosidad saber cuál es el sentir local sobre WhatsApp
Opinión de alguien de origen iraní La mayoría de la gente en Irán usa Telegram o WhatsApp Ambas apps han estado bloqueadas durante mucho tiempo y solo se puede acceder con VPN Después de los recientes ataques de Israel, WhatsApp volvió a ser bloqueado La mayoría de los ciudadanos iraníes parece no prestar demasiada atención a lo que dice el régimen, y probablemente solo una minoría muy pro-régimen le cree Más bien, el núcleo del régimen tiende a desconfiar mucho de la tecnología, y recientemente incluso prohibieron a altos funcionarios usar dispositivos electrónicos conectados a internet
Existe una alternativa local En Irán usan protocolos bridge que conectan varios mensajeros entre sí (por ejemplo, Message Exchange Bus)
Si hace 50 años alguien hubiera dicho “vamos a construir una red de vigilancia global, y además haremos que los vigilados paguen por ella”, nadie lo habría creído Pero ahora eso realmente está ocurriendo a través del teléfono celular