La policía ahora puede leer mensajes de Signal, Telegram y WhatsApp sin vulnerar su cifrado.

Las fuerzas del orden alemanas han aprendido a leer la correspondencia en Signal, Telegram y WhatsApp sin romper la criptografía ni instalar software espía en el teléfono inteligente. En lugar de atacar la protección del mensajero, la policía convierte su propio equipo en otro dispositivo de confianza del usuario, tras lo cual los mensajes llegan allí ya en un formato legible.

El método utiliza las funciones habituales de WhatsApp Web, Telegram Web y Signal Desktop. Tras la vinculación, el ordenador policial se convierte en un punto final completo de la conexión protegida. Cifrado de extremo a extremo sigue funcionando, pero protege los mensajes ya entre un mayor número de dispositivos autorizados. Con este enfoque no es necesario vulnerar los algoritmos ni interceptar el tráfico cifrado.

La principal dificultad para la policía es la confirmación del nuevo dispositivo. Los investigadores pueden obtener acceso físico breve al teléfono, obligar al propietario a escanear un código QR, interceptar el código de verificación por SMS o obtener los datos necesarios mediante phishing. Ataques a cuentas de este tipo ya son utilizados por operadores cibernéticos estatales que sortean la protección de Signal y WhatsApp mediante las funciones estándar de los servicios.

La Oficina Federal de Investigación Criminal Aduanera de Alemania, la ZKA, comenzó a probar la llamada Messengerüberwachung a finales de 2023. El organismo declaró avances significativos en la investigación de la delincuencia grave y organizada, y desde agosto de 2025 trasladó la tecnología de un modo experimental a una práctica permanente. Para operaciones complejas la ZKA recibe ayuda técnica de otros organismos federales.

Uno de los episodios más ilustrativos ocurrió ya en enero de 2020. Una pareja se presentó a declarar como testigos y entregó voluntariamente los teléfonos a la policía para que los agentes revisaran los mensajes de su hija. Mientras los dispositivos estaban en poder de los investigadores, la policía activó de forma encubierta WhatsApp Web en el ordenador de la Oficina Federal de Investigación Criminal. Tras la devolución de los teléfonos, los agentes potencialmente pudieron leer mensajes nuevos, ver el historial sincronizado y los contactos, así como enviar mensajes en nombre de los propietarios.

La vinculación de un dispositivo adicional puede también abrir parte de la correspondencia antigua. Las autoridades alemanas advirtieron que en Signal un dispositivo conectado ajeno puede recibir mensajes de los 45 días anteriores. En Telegram la policía aplicó un esquema similar contra un sospechoso en Baja Sajonia en marzo de 2022. El hombre detectó una sesión desconocida pocas horas después y la desconectó, pero los investigadores ya habían logrado copiar el archivo. Revisar la lista de dispositivos conectados por tanto sigue siendo uno de los métodos más sencillos para detectar tal intervención.

El estatus legal de la tecnología en Alemania sigue siendo controvertido. El Tribunal Supremo Federal, en una resolución del 20 de enero de 2026, reconoció la conexión oculta a Telegram como una forma de interceptación directa de las comunicaciones en la fuente. El problema radica en las capacidades de los clientes habituales de mensajería. Son capaces de sincronizar mensajes antiguos, contactos e incluso permitir enviar mensajes en nombre del usuario, mientras que una autorización judicial puede prever un acceso mucho más limitado. Los documentos de la ZKA publicados muestran que las autoridades consideran el propio método tan sensible que ni siquiera revelan estadísticas sobre su uso.

Un problema similar ya surgió en torno a Signal. En marzo de 2026 los servicios de inteligencia de los Países Bajos advirtieron sobre campañas donde los atacantes no intentaban romper el mensajero, sino que obligaban a los propietarios de las cuentas a autorizar la conexión de un dispositivo adicional. Ese enfoque traslada la lucha contra la criptografía al control de los puntos finales.

En agosto, especialistas de Google describieron otra variante de la misma táctica contra WhatsApp. Una página falsa generaba una solicitud legítima de vinculación de dispositivo y mostraba un código QR. Si el usuario confirmaba la conexión, un equipo ajeno obtenía un acceso legítimo desde el punto de vista del mensajero. Los casos muestran la debilidad general de los chats protegidos: un cifrado fiable ayuda poco cuando un tercero ha conseguido convertirse en un participante de confianza del propio sistema.