Hackeo expone vulnerabilidades en la app de mensajería modificada usada por funcionarios del gobierno de EE.UU.
Un reciente ciberataque reveló graves fallos de seguridad en TeleMessage, una empresa israelí que ofrece versiones modificadas de aplicaciones como Signal, WhatsApp, Telegram y WeChat para archivar mensajes de gobiernos y corporaciones. El incidente, reportado por 404 Media, pone en evidencia los riesgos de alterar soluciones de mensajería originalmente diseñadas para proteger la privacidad de los usuarios.
¿Qué sucedió?
Un hacker logró infiltrarse en los sistemas de TeleMessage y acceder a información sensible:
Contenidos de mensajes directos y chats grupales.
Nombres y datos de contacto de funcionarios del gobierno estadounidense, incluidos miembros de Customs and Border Protection (CBP) y empleados de Coinbase.
Credenciales de acceso al panel de administración de TeleMessage.
Mensajes internos de grupos vinculados a debates sobre leyes de criptomonedas en el Senado de EE.UU.
Aunque el atacante no accedió a los mensajes de altos funcionarios como el asesor de seguridad nacional Mike Waltz (quien usaba TeleMessage en reuniones con el expresidente Trump), quedó demostrado que los registros archivados no están protegidos con cifrado de extremo a extremo una vez que salen de la app modificada.
El acceso al sistema fue alarmantemente sencillo: según el hacker, tomó apenas 15 a 20 minutos vulnerarlo.
¿Por qué es preocupante?
TeleMessage ofrecía a gobiernos y empresas la posibilidad de "archivar" mensajes de aplicaciones seguras como Signal, pero en la práctica, este proceso incorporaba una puerta trasera: copias de las comunicaciones se enviaban a servidores externos.
Aunque la empresa aseguraba que mantenía la seguridad original de Signal, la realidad es que una vez capturados y almacenados de forma centralizada, esos datos pierden la protección del cifrado extremo a extremo y se vuelven susceptibles a ataques, como el que ahora se ha materializado.
Esto plantea un grave dilema para la ciberseguridad gubernamental: ¿es compatible el archivado de comunicaciones oficiales con la verdadera privacidad digital?
Además, abre el debate sobre la soberanía digital:
➔ ¿Debe un gobierno confiar en aplicaciones modificadas por terceros, especialmente extranjeros, para gestionar sus comunicaciones sensibles?
➔ ¿Qué riesgos implica depender de infraestructuras que no controlan directamente, especialmente en temas de defensa, finanzas y seguridad nacional?
La reciente tendencia a adoptar plataformas de mensajería privadas para comunicaciones estatales sin garantizar su control y custodia refuerza la necesidad urgente de desarrollar soluciones soberanas de comunicación segura.
Impacto más allá del gobierno
Además de afectar organismos estatales como la CBP, el ataque dejó expuestos datos de empleados de firmas financieras como Coinbase, Galaxy Digital y menciones a Scotiabank. Estas entidades, sujetas a estrictas regulaciones sobre conservación de comunicaciones, confían en herramientas como TeleMessage para cumplir requisitos legales. Este incidente demuestra cómo un solo punto de falla puede comprometer no solo secretos gubernamentales, sino también información corporativa crítica.
¿Qué sigue?
Hasta ahora, ni TeleMessage ni su empresa matriz, Smarsh, han ofrecido declaraciones públicas claras sobre el incidente. En paralelo, tras la ola de cobertura mediática sobre el uso de esta app en la Casa Blanca, TeleMessage eliminó su sitio web, borrando detalles sobre sus productos y servicios.
Mientras tanto, el episodio deja una enseñanza crítica: modificar soluciones de mensajería cifrada para incorporar vigilancia o archivado puede abrir peligrosas vulnerabilidades, contradiciendo la esencia misma de la privacidad que originalmente prometían proteger.
La seguridad digital no puede depender de parches improvisados. Tampoco puede externalizarse sin perder soberanía. Este caso reafirma la importancia de crear y controlar nuestras propias herramientas de comunicación segura, especialmente cuando están en juego la información de estado y la confianza pública.