Cierre de aplicaciones de mensajería seguras: riesgos, alternativas y cómo proteger tus chats

Vivimos pegados al móvil, saltando entre chats de trabajo, grupos familiares y conversaciones privadas que damos por hechas como “seguras” solo porque van en una app popular. Pero la realidad es bastante más incómoda: muchas de esas aplicaciones recopilan metadatos, almacenan copias de tus mensajes y están sujetas a decisiones de empresas o gobiernos que pueden cambiarlo todo de la noche a la mañana, incluyendo el cierre de servicios que parecían intocables.

En los últimos años hemos visto cómo se han apagado proyectos de mensajería que eran referencia en privacidad (como Surespot o Wickr Me en su versión de consumo), cómo otras han cambiado de manos o de modelo de negocio, y cómo surgen alternativas descentralizadas que tratan de esquivar tanto la vigilancia masiva como la censura. Este artículo repasa a fondo por qué necesitamos mensajeros realmente seguros, qué requisitos técnicos y de gobernanza deben cumplir, qué opciones hay hoy en el mercado, qué riesgos implica su posible cierre y cómo elegir y usar estas herramientas sin autoengañarnos.

Related article:

¿Cuáles son las mejores aplicaciones de mensajería privadas y encriptadas que tienes que usar? Lista [year]

Por qué necesitamos un mensajero seguro (y qué pasa cuando falla)

La mensajería instantánea se ha convertido en la forma de comunicación dominante en el día a día; tanto que ya casi nadie se plantea si lo que manda por ahí podría acabar en un informe policial, en un servidor hackeado o en manos de una gran plataforma publicitaria. El problema es que una actitud confiada o descuidada hace que conversaciones que creías privadas puedan terminar expuestas, copiadas o analizadas sin que te enteres.

No basta con pensar “yo no tengo nada que ocultar”. Los chats contienen datos personales, financieros y contextuales que permiten perfilarte al milímetro: con quién hablas, cuándo, desde dónde, cuánto tiempo, a qué horas eres más activo, en qué grupos te mueves… Aunque el contenido esté cifrado, esa capa de datos (los metadatos) ya es oro para muchos actores.

Cuando además una app se cierra o se ve obligada a cambiar por presiones legales, adquisiciones o escándalos mediáticos, puede dejar a millones de personas sin soporte, sin actualizaciones de seguridad y, en el peor de los casos, con historiales delicados almacenados en servidores que ya nadie mantiene con el mismo rigor. Por eso, la seguridad no es solo “que no lean mis mensajes hoy”, sino también qué ocurre con ellos si el servicio cambia de manos o desaparece.

Entre quienes pueden estar muy interesados en todo lo que pasa por tus chats están ciberdelincuentes, grandes corporaciones y gobiernos. Cada uno con motivaciones distintas, pero con una conclusión muy clara: si no eliges bien la herramienta y no la configuras con cabeza, estás poniendo tu vida digital en manos de terceros con intereses propios.

Quién quiere tus datos: de hackers a gobiernos

Los primeros sospechosos son los más obvios: los intrusos y hackers que buscan vulnerabilidades en aplicaciones de mensajería para robar credenciales, secuestrar cuentas o sacar dinero mediante extorsión. Les interesan sobre todo los datos bancarios, documentos, fotos comprometedoras o cualquier material aprovechable para phishing y fraudes con deepfakes.

En paralelo, las grandes plataformas y empresas publicitarias están deseando conseguir la mayor cantidad posible de información sobre tus hábitos. Aunque el contenido del mensaje vaya cifrado, muchos servicios de chat usan los metadatos y la actividad en su app para refinar sus sistemas de segmentación comercial, crear audiencias y alimentar modelos de negocio basados en la publicidad o la venta de datos agregados.

El tercer actor incómodo son los gobiernos. En nombre de la seguridad nacional o la lucha contra el crimen, muchas autoridades reclaman acceso ampliado a los datos de mensajería, presionan para limitar el cifrado fuerte o fuerzan a las compañías a almacenar y entregar historiales, metadatos o claves cuando una ley así lo permite. En países con marcos legales garantistas hay ciertos frenos, pero en regímenes autoritarios o contextos de represión política, la mensajería insegura puede pagarse muy cara.

El resultado de mezclar estos intereses con descuidos básicos (copias de seguridad sin cifrar, móviles sin bloqueo, uso de Wi‑Fi públicas sin protección, descargas de adjuntos sospechosos, etc.) es un cóctel perfecto para que lo que escribiste confiado en “un chat” termine en manos del peor destinatario posible.

Qué hace realmente segura una aplicación de mensajería

Detrás del mensaje bonito de “somos la app más segura” hay muchos matices técnicos y de diseño. Las aplicaciones que se toman la privacidad en serio comparten una serie de pilares fundamentales que van bastante más allá de poner un candado en el icono. Entre los elementos críticos están el cifrado de extremo a extremo, el modelo de metadatos, la apertura del código, el grado de centralización y el secreto perfecto hacia adelante.

El cifrado de extremo a extremo (E2EE) significa que el mensaje se cifra en tu dispositivo y solo se descifra en el dispositivo del destinatario. Ni el servidor, ni la propia empresa de la app, ni un atacante que consiga acceso al backend debería poder ver el contenido. Eso excluye por definición los servicios donde los mensajes se procesan “en la nube” en texto claro para, por ejemplo, hacer copias, indexarlos o analizarlos para publicidad.

El secreto perfecto hacia adelante (PFS, por sus siglas en inglés) añade una capa importante: en lugar de usar siempre la misma clave para comunicarse, cada conversación (e incluso cada mensaje) utiliza claves efímeras que se destruyen una vez usadas. Así, aunque mañana se robe alguna clave maestra o se comprometa un servidor, las conversaciones del pasado seguirán protegidas.

Otro elemento clave es si la aplicación es de código abierto y está auditada por terceros. Cuando el código fuente del cliente y, preferentemente, del servidor está disponible, la comunidad de seguridad puede revisar cómo se implementa el cifrado, si hay puertas traseras, errores gordos o decisiones de diseño cuestionables. No es una garantía absoluta, pero reduce muchísimo el margen para prácticas opacas.

Por último, el grado de centralización marca dónde están los puntos débiles. Los sistemas fuertemente centralizados concentran todo en un puñado de servidores, lo que los convierte en objetivo ideal de hackers y de requerimientos judiciales masivos. Los modelos federados (varios servidores interoperables) y, sobre todo, los descentralizados o tipo malla, diluyen ese punto único de fallo, aunque a cambio suelen ser menos cómodos y “amigables” para el gran público.

Metadatos, anonimato y mensajes que desaparecen

Incluso con un cifrado de primera, una app puede seguir siendo muy indiscreta si trata los metadatos como un tesoro. Los metadatos son toda la información sobre tus comunicaciones que no es el contenido en sí: quién habla con quién, a qué horas, cuánto dura la conversación, desde qué IP, en qué país, con qué tipo de dispositivo, etc.

Las aplicaciones más cuidadosas con la privacidad intentan reducir al mínimo esa recolección, adoptando diseños de “zero‑knowledge”, en los que ni siquiera la propia empresa podría reconstruir tu red de contactos aunque quisiera. Otras, en cambio, conservan historiales largos de conexiones, listas de contactos sincronizadas y otros datos que pueden acabar en manos de anunciantes o de las autoridades, según sus políticas.

Las funciones de anonimato también marcan diferencias: registrar una cuenta con un ID aleatorio o un correo independiente es mucho más prudente que obligar a usar el número de teléfono real, que suele estar atado a tu documento de identidad en muchos países. Algunas herramientas permiten además ocultar tu IP real mediante enrutamiento tipo Tor u opciones de proxy integradas.

Los mensajes que desaparecen, las cuentas temporales y la posibilidad de borrar historiales de todos los dispositivos ayudan a recortar la huella de lo que dices. Eso sí, hay que entender sus límites: ningún temporizador impide que quien está al otro lado haga una captura de pantalla o una foto con otro móvil. Aun así, bien configurados, estos mecanismos son una defensa sólida frente a robos de móviles, confiscaciones o simples despistes.

Las aplicaciones de mensajería más seguras y qué las diferencia

El mercado está lleno de apps que prometen seguridad, pero pocas cumplen de verdad todo el checklist de cifrado fuerte, buen manejo de metadatos, transparencia y sostenibilidad del proyecto. A continuación repasamos, integrando distintos criterios, las opciones que mejor paradas suelen salir en comparativas independientes, junto con sus puntos débiles.

Signal: el estándar de oro del cifrado moderno

Signal se ha ganado a pulso su reputación como referente. Usa el protocolo Signal, abierto y auditado, con cifrado de extremo a extremo y secreto perfecto hacia adelante para todos los mensajes, llamadas y chats grupales por defecto. No hay que activar “modos secretos”: todo está protegido desde el inicio.

La organización que lo mantiene es una fundación sin ánimo de lucro, financiada por donaciones y subvenciones, lo que reduce el incentivo de monetizar datos o introducir publicidad. El código del cliente y del servidor puede inspeccionarse públicamente, y la política de retención de datos se basa en guardar lo mínimo imprescindible (prácticamente solo la fecha de creación de la cuenta y la última conexión aproximada).

Entre sus funciones destacan los mensajes que desaparecen, el bloqueo de pantalla, la verificación de contactos mediante códigos QR y un sistema de PIN que permite recuperar la cuenta sin depender solo del número de teléfono. En el lado menos amable, sigue siendo obligatorio registrar un número, su base de usuarios es menor que la de gigantes como WhatsApp y, por diseño, renuncia a ciertas comodidades “sociales” para no abrir agujeros de privacidad.

Threema: anonimato y control suizo

Threema se mueve en un terreno muy exigente en cuanto a protección de datos: se desarrolla en Suiza y está pensado para minimizar al extremo la generación de metadatos. El registro se hace mediante un ID aleatorio sin necesidad de teléfono ni correo, y permite incluso pagos anónimos para adquirir la app.

Todo el contenido (mensajes, llamadas, archivos, chats grupales) va cifrado de extremo a extremo con soporte de secreto hacia adelante y mensajes autodestructibles. El servidor central solo gestiona lo justo para enrutar mensajes y comprobar la entrega, y los historiales se quedan en tu dispositivo. Además, incluye un sistema de identidades verificadas a través de códigos QR para evitar suplantaciones en contactos importantes.

Las aplicaciones cliente son de código abierto, pero el servidor no, lo que obliga a confiar en la empresa en ese punto. Otro freno es que es de pago (aunque con un coste único razonable) y que no tiene el alcance masivo de otras alternativas, de modo que muchos de tus contactos quizá no estén allí.

Wire y AWS Wickr: enfoque empresarial y cumplimiento normativo

Wire nació como una solución de mensajería segura tanto para usuarios particulares como para empresas, con sede en Europa y cumplimiento estricto de GDPR. Sus clientes y servidores son de código abierto, con auditorías públicas, y todo el tráfico (mensajes, llamadas, archivos, uso compartido de pantalla) se protege con cifrado de extremo a extremo y secreto hacia adelante.

Uno de sus atractivos es la posibilidad de registrarse con correo electrónico, sin forzar el número de teléfono, y la existencia de versiones autohospedadas para organizaciones que quieran mantener control total sobre dónde se almacenan sus datos. Como contrapartida, conserva ciertos metadatos necesarios para la gestión de grupos y dispositivos, y está claramente orientado a entornos corporativos, no tanto al usuario casual.

Wickr, por su parte, dio un giro importante cuando la versión gratuita para consumidores, Wickr Me, fue retirada y la plataforma se reorientó bajo el paraguas de Amazon Web Services como solución de mensajería efímera y colaboración segura para empresas (AWS Wickr). Mantiene el cifrado E2EE, las funciones de mensajes autodestructibles y la eliminación agresiva de metadatos, pero ha dejado de ser una opción generalista para el usuario de a pie.

Session y Briar: anonimato y resiliencia extrema

Su cifrado se basa en libsodium, una biblioteca ampliamente probada, y el código es abierto. A cambio, el enrutado cebolla introduce cierta latencia, especialmente al manejar archivos grandes, y el protocolo actual no implementa todavía un secreto hacia adelante tan robusto como el de Signal, algo que los propios desarrolladores reconocen como línea de mejora.

Briar va un paso más allá en resiliencia. Está pensada especialmente para contextos de censura fuerte, protestas o catástrofes, y funciona mediante conexiones entre pares vía Tor, Wi‑Fi directo o Bluetooth, de modo que puede seguir operando incluso sin Internet convencional. Los mensajes y blogs personales se cifran extremo a extremo con secreto hacia adelante, y el modelo es totalmente descentralizado, sin servidores centrales a los que atacar o confiscar.

Sus limitaciones son claras: solo está disponible oficialmente para Android, no soporta llamadas de voz o vídeo ni envío masivo de archivos pesados, y el consumo de batería puede ser mayor por la sincronización constante. Pero para colectivos en situación de alto riesgo resulta una de las herramientas más robustas que existen hoy.

Telegram, WhatsApp, iMessage, Viber, Line, Google Messages… ¿qué ofrecen realmente?

En el otro lado del espectro están las grandes apps de consumo que casi todo el mundo usa. No son un desastre absoluto, pero estudios y comparativas Telegram vs WhatsApp muestran que su modelo de negocio y sus decisiones de diseño hacen que no puedan ponerse en el mismo saco que Signal o Threema.

WhatsApp, propiedad de Meta, utiliza el protocolo Signal para cifrar de extremo a extremo todos los mensajes, llamadas y archivos por defecto, y permite activar copias de seguridad cifradas en iCloud o Google Drive. Ofrece verificación en dos pasos y cierto control sobre quién ve tu foto, estado, etc. El gran problema es que recopila y comparte metadatos extensos con la matriz (quién habla con quién, con qué frecuencia, desde qué IP, etc.), que se usan para mejorar el negocio publicitario y los servicios empresariales.

Telegram, muy popular por sus canales y grupos gigantes, solo aplica E2EE en los llamados “chats secretos”, que hay que activar manualmente y que no se sincronizan entre dispositivos. El resto de conversaciones se cifran entre cliente y servidor, pero se almacenan en la nube de Telegram, facilitando historiales accesibles desde cualquier aparato… y multiplicando la superficie de ataque. Además, usa un protocolo propio (MTProto) menos probado que el de Signal y retiene metadatos para la experiencia social.

iMessage ofrece cifrado de extremo a extremo entre dispositivos Apple, con secreto hacia adelante, y ha ido reforzando su seguridad con funciones como la Protección avanzada de datos para cifrar también copias de seguridad en iCloud. No obstante, el ecosistema cerrado hace que cuando escribes a Android caigas de nuevo en SMS sin cifrar, y el código propietario impide auditorías públicas completas.

Otras alternativas como Viber o Line disponen de cifrado E2EE (a veces opcional, como el “Letter Sealing” de Line), pero combinan ese cifrado con modelos de negocio fuertemente apoyados en recopilación de contactos, IPs, datos de uso y marketing. Google Messages, por su parte, incorpora cifrado de extremo a extremo sobre RCS entre dispositivos Android y es de código abierto, pero está totalmente ligado al ecosistema y a la política de datos del buscador.

El papel (y el cierre) de proyectos menos conocidos

Más allá de los grandes nombres, existen o han existido proyectos muy interesantes que han aportado ideas valiosas al ecosistema de mensajería segura… y que nos recuerdan lo frágil que puede ser confiar en una única app. El caso de Surespot es paradigmático: una herramienta gratuita con cifrado de extremo a extremo y claves únicas por usuario, que cerró en 2022 tras verse mencionada en un caso judicial relacionado con terrorismo.

Aunque el código de la app sigue disponible para que terceros lo reutilicen, el cierre dejó claro que incluso un diseño impecable puede venirse abajo si la empresa detrás no tiene músculo financiero y legal suficiente para sostenerse ante presiones y controversias públicas. Usuarios que habían confiado en Surespot se vieron de repente sin soporte, sin actualizaciones de seguridad y con la duda de qué ocurriría con los datos que aún quedaban en los servidores.

Algo similar sucedió con Wickr Me para consumidores: pese a sus capacidades avanzadas (mensajes efímeros, eliminación de metadatos, detección de capturas de pantalla), la adquisición por Amazon redirigió el proyecto hacia un servicio empresarial bajo AWS, abandonando la ruta de la mensajería anónima de uso general. Quien había apostado todo a esa app tuvo que migrar deprisa y corriendo a otras alternativas.

Este tipo de cierres, adquisiciones o reconversiones subrayan la importancia de fijarse no solo en la tecnología, sino también en el modelo de gobernanza, la financiación y los incentivos a largo plazo de cada plataforma. Un mensajero “seguro” que desaparece de un día para otro puede dejarte tirado justo cuando más falta te hace.

Soluciones corporativas: TrueConf, Bitrix24, Rocket.Chat y compañía

En el mundo empresarial, la conversación cambia: además de cifrar chats, hay que integrar la mensajería con videoconferencia, gestión de proyectos, cumplimiento normativo (HIPAA, FINRA, RGPD…) y administración centralizada de usuarios. Aquí entran en juego soluciones como TrueConf, Bitrix24, Rocket.Chat, Slack o Wire en su versión business.

TrueConf apuesta por un servidor que se instala dentro de la red corporativa, de forma que todos los datos se almacenan en infraestructura propia, sin necesidad de exponerlos a Internet si no es estrictamente necesario. Ofrece videollamadas 4K, conferencias de hasta miles de participantes, herramientas colaborativas y funciones potenciadas por IA, todo ello protegido por cifrado de medios y un sistema de seguridad multinivel.

Bitrix24 combina mensajería interna, gestión de tareas, CRM y telefonía IP en un mismo paquete. El tráfico se cifra con SSL de 256 bits, y las empresas pueden elegir entre modo nube o instalación local. La versión gratuita es limitada, pero sirve como puerta de entrada para equipos pequeños, mientras que las ediciones de pago escalan en funciones y almacenamiento.

Rocket.Chat, por su lado, es una plataforma open source muy popular para montar servidores de chat propios, con autenticación en dos factores, opciones de cifrado, bots y un potente panel de administración. Su flexibilidad permite integrarlo con innumerables servicios externos y flujos de trabajo, aunque esa misma potencia puede hacerlo algo complejo para usuarios no técnicos.

En todos estos contextos corporativos, lo crítico es que el departamento de TI pueda controlar dónde se almacenan las comunicaciones, qué se registra, qué se audita y cómo se cumplen las normas de la industria. La contrapartida es que rara vez ofrecen anonimato real al estilo de Threema o Session, porque por definición la organización necesita saber quién es quién.

Descentralización y “censura-resistencia”: Element, Matrix, Utopia y Delta Chat

Una tendencia clara en los últimos años es la búsqueda de arquitecturas menos dependientes de un único proveedor. El ecosistema Matrix, con Element como cliente destacado, representa esa idea: múltiples servidores pueden hablar entre sí usando un protocolo común, y los usuarios pueden incluso montar su propio “home server” para controlar su trozo de red.

Element permite chats privados, salas públicas, intercambio de archivos y llamadas, con cifrado E2EE basado en Olm/ Megolm y almacenamiento descentralizado. El registro puede hacerse sin datos personales, y se pueden generar claves de recuperación para descifrar historiales en caso de perder la contraseña. De esta forma, no existe un único punto al que un gobierno pueda enviar una orden de bloqueo total, aunque sí pueda perseguir servidores concretos.

Delta Chat da otra vuelta de tuerca reutilizando la red de correo electrónico existente. En lugar de inventar un protocolo nuevo, convierte tu cuenta de email en un mensajero que habla por encima de SMTP e IMAP, usando cifrado Autocrypt para asegurar los mensajes. No obliga a que el interlocutor tenga la app instalada: basta con que tenga correo, lo que lo hace muy flexible.

El problema es que si alguna de las partes usa un cliente de email que no soporte cifrado, el mensaje puede terminar en texto claro, y que la seguridad depende enormemente de cómo gestione cada proveedor de correo sus servidores. Aun así, es una solución creativa para quienes ya están muy acostumbrados al correo y quieren dotarlo de una interfaz estilo chat.

Plataformas como Utopia, con mensajería cifrada, red propia y funciones de billetera y criptomonedas, buscan ir aún más allá en descentralización y elusión de censura. Utilizan algoritmos modernos como Curve25519 y AES‑256, y prometen bloquear intentos de rastreo de actividad online. A día de hoy, sin embargo, su adopción es minoritaria y su ecosistema de contenido muy limitado, lo que complica usarlas como solución principal.

Criterios prácticos para elegir tu mensajero privado

Con tanta oferta, lo razonable es partir de tus necesidades concretas y a partir de ahí filtrar. No es lo mismo chatear con amigos sobre series que coordinar acciones en un país con censura o gestionar un hospital donde cumplir HIPAA y otras normativas es crítico.

Para un uso cotidiano con foco en privacidad fuerte, Signal suele ser la mejor combinación de seguridad, sencillez y masa crítica de usuarios. Si tu prioridad es el anonimato extremo y evitar asociar la cuenta con tu identidad, Session o Threema están por delante. Para coordinación de colectivos en contextos extremos, Briar y ciertas configuraciones de Element/Matrix tienen más sentido.

En entornos profesionales con requisitos de cumplimiento y auditoría, soluciones como Wire (enterprise), TrueConf, Bitrix24 o Rocket.Chat aportan funciones de administración, registros trazables y opciones de despliegue local o privado que simplemente no existen en apps puramente de consumo.

Sea cual sea la herramienta, conviene hacerse unas cuantas preguntas: ¿requiere teléfono real? ¿Ofrece E2EE por defecto o hay que activarlo chat a chat? ¿El código es abierto? ¿Dónde están los servidores y bajo qué leyes operan? ¿Cuál es su modelo de negocio? ¿Ha pasado auditorías independientes recientes? Contestar a eso te dará una imagen bastante fiel de si te conviene confiarle tus conversaciones sensibles.

Buenas prácticas para que la seguridad no se caiga por tu lado

La aplicación más blindada del mundo no sirve de mucho si tu móvil está infectado con spyware o desbloqueado sin contraseñas. Al final, la seguridad real es una mezcla entre tecnología y hábitos. Hay una serie de medidas sencillas que marcan la diferencia en el día a día.

Lo primero es poner una contraseña o PIN largo y robusto en el dispositivo, y, cuando la app lo permita, un bloqueo propio para la aplicación de mensajería. Nada de dejar el móvil sin bloqueo “porque molesta”: es la puerta de entrada a toda tu vida digital. En segundo lugar, evita enviar información extremadamente sensible (credenciales bancarias, claves de acceso, documentos legales) aunque uses E2EE; para eso es mejor usar canales específicamente pensados y gestionados.

Otro clásico es el Wi‑Fi público: cafeterías, aeropuertos, hoteles… Son redes donde es más fácil espiar el tráfico o montar ataques de intermediario. Si tienes que usarlas, mejor combinar la mensajería cifrada con una VPN de confianza que proteja el resto del tráfico. Y, por supuesto, desconfía de enlaces raros y archivos adjuntos inesperados: gran parte del malware entra por ahí.

También conviene activar siempre que exista la verificación en dos pasos o autenticación en dos factores de la propia app. Eso hace mucho más difícil que alguien secuestre tu cuenta con un simple intercambio de SIM o acceso puntual al SMS. Y no te olvides de actualizar tanto el sistema operativo como las aplicaciones: la mayoría de vulnerabilidades explotadas en la práctica ya estaban corregidas en versiones nuevas que el usuario no había instalado.

Por último, revisa la política de copias de seguridad: muchas veces se cifran las conversaciones en tránsito… pero luego se guardan en la nube sin cifrado robusto. Si tu mensajería ofrece copias de seguridad E2EE (como WhatsApp o iMessage con la protección avanzada) actívalas; si no, valora desactivar las copias automáticas de chats sensibles o usar sistemas alternativos bajo tu control.

Al final, elegir y usar una aplicación de mensajería segura va mucho más allá de instalar lo que recomiende un amigo o lo que tenga más usuarios. Implica entender qué se protege, contra quién y bajo qué condiciones, asumir que algunos servicios pueden cerrarse o cambiar radicalmente, y adoptar unos mínimos hábitos de higiene digital. Si combinas una herramienta técnicamente sólida (Signal, Threema, Session, Element, Briar, etc.) con buenas prácticas básicas, tendrás un nivel de protección muy por encima de la media y bastante margen frente a cierres repentinos o cambios de política.