La seguridad de WhatsApp vuelve a estar en el punto de mira tras una investigación académica que logró enumerar 3.500 millones de números vinculados a cuentas activas en la plataforma. El hallazgo, obra de equipos de la Universidad de Viena, TU Wien y SBA Research, ha reavivado el debate sobre la privacidad en apps de mensajería en Europa y en España.
Según adelantó Wired a partir del material publicado por los investigadores, el equipo aprovechó el proceso de verificación de nuevas cuentas y el sistema de descubrimiento de contactos para comprobar, a escala, qué números existen en el servicio y extraer metadatos de perfil que los usuarios tenían en abierto. Aunque los mensajes continuaron cifrados de extremo a extremo, la magnitud de la recopilación ha generado preocupación por los posibles usos maliciosos.
Qué ha pasado y cómo se explotó la brecha
El núcleo del problema estaba en la función de descubrimiento de contactos: mediante automatización, los investigadores enviaron secuencias de números y observaron la respuesta del servicio para saber si había una cuenta asociada. La infraestructura de WhatsApp apenas imponía límites efectivos, de modo que fue posible alcanzar tasas de hasta 7.000 consultas por segundo por sesión y en torno a 100 millones por hora, creando en 48 horas un directorio de alcance mundial (245 países).
Además de confirmar la existencia de los números, el sistema permitió recuperar datos visibles según la configuración de cada usuario: foto de perfil, texto de «Info», marcas de tiempo y, en algunos casos, claves públicas de cifrado e información empresarial. El estudio cifra en un 57% los perfiles con imagen accesible y en un 29% los que mostraban texto público, algo que en determinados mercados permitió incluso compilar decenas de millones de fotografías asociadas a un teléfono.
Se trata de un trabajo de la Universidad de Viena, la Universidad Técnica de Viena y SBA Research, documentado en GitHub y dado a conocer por Wired. Los autores trasladaron el hallazgo a WhatsApp a la primavera de 2025 y subrayan que, de no haberse llevado a cabo bajo protocolo ético, estaríamos ante una de las mayores recopilaciones de datos personales de la historia de internet.
El caso pone el foco en el uso del número de teléfono como identificador único. Estos números son fáciles de enumerar a gran escala, lo que facilita directorios masivos y puede exponer a personas en países donde la app está restringida. En el marco europeo, el principio de minimización de datos del RGPD y las recomendaciones de ENISA invitan a reducir la exposición pública de metadatos y a reforzar controles contra el scraping.
Respuesta de Meta y riesgos para los usuarios
Tras la notificación, WhatsApp implantó contramedidas, entre ellas limitaciones de tasa (rate limiting) y menos datos accesibles por defecto, además de ajustes en clientes, especialmente en Android. La compañía, propiedad de Meta, enmarcó lo sucedido como scraping de información pública y dijo no haber detectado señales de explotación maliciosa fuera del estudio. El reporte fue reconocido en su programa de bug bounty.
Con todo, disponer de un «listín» a esa escala facilita campañas de spam, phishing y llamadas automatizadas, o intentos de suplantación y SIM swapping. El análisis también permitió inferir detalles técnicos (Android/iOS, antigüedad de la cuenta o dispositivos vinculados) y detectó reutilización de claves en algunos casos, algo que los expertos asocian al uso de clientes no oficiales, abriendo una vía adicional de riesgo.
En España y la UE, el incidente reabre la conversación sobre buenas prácticas y responsabilidades. Empresas y administraciones deberían revisar sus flujos de contacto por WhatsApp y reforzar políticas de protección de datos, mientras que los usuarios pueden reducir su exposición pública. Aquí, el papel de la AEPD y las directrices europeas son clave para estandarizar configuraciones más seguras por defecto.
Para quienes usan la app a diario, conviene ajustar la visibilidad del perfil. Estos pasos se completan en menos de un minuto y reducen notablemente lo que cualquiera puede ver:
- Abre WhatsApp y entra en Ajustes > Privacidad.
- En Foto del perfil e Info, elige Mis contactos (o Nadie, si prefieres máxima reserva).
- En Estados y Última vez y en línea, limita la visibilidad a tus contactos.
- Restringe quién puede añadirte a grupos y mantén la app siempre actualizada.
Además, presta atención a señales de abuso (mensajes inesperados con datos personales, enlaces urgentes, adjuntos sospechosos) y recuerda bloquear y denunciar desde la propia app a cuentas potencialmente maliciosas. Si la función de nombres de usuario está disponible en tu cuenta, activarla añade una capa adicional al no exponer directamente tu número.
La investigación no accedió a contenidos cifrados, pero ha evidenciado que un fallo en el control de peticiones permitió montar un directorio global de números y perfiles abiertos. Con la corrección ya aplicada por WhatsApp, la protección efectiva depende en gran parte de la privacidad que configures y de mantener hábitos prudentes ante intentos de fraude y recopilación masiva de datos.
