Cifrado en WhatsApp no siempre equivale a privado: Facebook examina millones de partes de los chats, según ProPublica

ProPublica ha publicado un reportaje en el que detallan, tras una larga investigación, múltiples formas en las que supuestamente Facebook debilita la privacidad de los dos mil millones de usuarios de WhatsApp.

La publicación afirma que cuando Facebook dice que nadie fuera de un chat, ni siquiera la misma WhatsApp, puede leer o escuchar los mensajes, no dicen la verdad a pesar de que la empresa ofrezca y publicite constantemente el cifrado de extremo a extremo de los mensajes.

Cuando cifrado no basta para ser privado

Antes hemos hablado de por qué apps como Signal son mucho más privadas que WhatsApp aunque Facebook tampoco pueda leer tus mensajes. Esto es porque, aunque los mensajes de chat en WhatsApp cuentan con cifrado al igual que los de Signal, en Signal no recopilan la misma cantidad de metadatos que la aplicación de Facebook.

No solo lo que escribimos en un chat es información valiosa, y en el caso de WhatsApp esa es la única información que está cifrada. Pero además de esto, en ProPublica explican que según personas que trabajaron como ingenieros y moderadores en Facebook, hay muchas más formas en las que WhatsApp además, escanea el contenido de millones de partes de los mensajes, incluyendo imágenes y vídeos.

Por ejemplo, a diferencia de lo que pasa en Facebook o Instagram, que no ofrecen cifrado y donde sistemas de inteligencia artificial escanean automáticamente los chats, imágenes y vídeos en busca de contenido infractor, en WhatsApp hace falta que el usuario reporte un mensaje desde la app.

Cuando cualquier usuario hace esto, se reenvían cinco mensajes (el que supuestamente infringe las normas más los cuatro anteriores) a WhatsApp completamente descifrados, y esos mensajes se convierten en un ticket que deberá ser examinado por un moderador humano.

Al mismo tiempo, la IA inicia una serie de acciones "proactivas" para escanear datos no cifrados que WhatsApp recolecta de los usuarios (todo menos los mensajes), y los compara con información de cuentas y patrones de mensajes sospechosos.

Estos metadatos, es decir, los datos no cifrados disponibles para el escrutinio son bastante amplios: incluyen los nombres y las imágenes de perfil de los grupos de WhatsApp de un usuario, así como su número de teléfono, la foto de perfil, el mensaje de estado, el nivel de batería del teléfono, el idioma y la zona horaria, el identificador único del teléfono móvil y la dirección IP, la intensidad de la señal inalámbrica y el sistema operativo del teléfono, una lista de sus dispositivos electrónicos, cualquier cuenta de Facebook e Instagram relacionada, la última vez que utilizó la aplicación y cualquier historial de infracciones anteriores.

WhatsApp, a diferencia de Facebook o Instagram, no ofrece informes regulares de cómo monitorizan la plataforma, y la página de ayuda solo dice que se recibirán "los mensajes más recientes" de un usuario que ha sido denunciado "así como información sobre tus interacciones recientes con ellos". No detallan cuántos mensajes no cifrados se revelan, ni dicen que vayan a ser examinados por contratistas externos.

Por su lado esto es lo que WhatsApp tiene que decir:

Construimos WhatsApp de manera que se limiten los datos que recopilamos y, al mismo tiempo, nos proporcionen herramientas para prevenir el spam, investigar las amenazas y prohibir a quienes se dedican al abuso, incluso en base a los informes de los usuarios que recibimos. Este trabajo requiere un esfuerzo extraordinario por parte de los expertos en seguridad y un valioso equipo de confianza y seguridad que trabaja incansablemente para ayudar a proporcionar al mundo una comunicación privada.

También explican que recientemente han añadido más controles sobre cómo pueden desaparecer los mensajes de las personas o ser vistos sólo una vez, y además, creen que según los comentarios que han recibido de los usuarios, están seguros de que la gente entiende que cuando hacen denuncias a WhatsApp, estos reciben el contenido que se les envía.

Es posible que el usuario entienda que si reporta un mensaje, WhatsApp recibe ese mensaje, pero es menos probable que entienda cuántos mensajes exactamente se están enviando (algo que WhatsApp no explica detalladamente en sus FAQs), ni todo el resto de datos asociados que se revisarán.