La demanda presentada por el fiscal general de Texas contra Meta no se centra realmente en si el algoritmo de cifrado de WhatsApp funciona. Se centra en todo lo que lo rodea.

La demanda, presentada el 21 de mayo de 2026, alega que Meta almacenaba mensajes de WhatsApp sin cifrar y gestionaba un sistema interno que permitía a empleados y contratistas acceder al contenido de mensajes privados previa solicitud. El criptógrafo Matthew Green, profesor de la Universidad Johns Hopkins, señaló que las acusaciones son plausibles «en el contexto de las copias de seguridad en la nube y la mensajería empresarial» y que las propias declaraciones de privacidad de WhatsApp reconocen categorías de datos que quedan totalmente fuera de su garantía de cifrado.

Esa distinción es importante para los responsables gubernamentales y de infraestructuras críticas, y sigue siendo válida independientemente del resultado del juicio. La cuestión nunca ha sido si el protocolo de mensajes es criptográficamente seguro —lo es—. La cuestión es si el sistema que lo rodea está regulado de tal forma que proteja su misión.

Para los usuarios particulares, esa brecha supone un problema de privacidad. Para los organismos de defensa, los coordinadores de respuesta ante emergencias y los operadores de infraestructuras críticas, se trata de una vulnerabilidad operativa.

Piensa en lo que queda fuera del ámbito del cifrado en una implementación típica de mensajería para consumidores. Las copias de seguridad en la nube, que pueden no estar cifradas de extremo a extremo de forma predeterminada. Las integraciones de mensajería empresarial con excepciones de acceso explícitas. Los sistemas internos de la plataforma que, según la demanda de Texas, pueden acceder al contenido de los mensajes previa solicitud. Y los metadatos que revelan quién se comunicó con quién, cuándo y con qué frecuencia —visibles independientemente de si el contenido del mensaje está protegido.

Cada uno de estos elementos constituye una señal que los adversarios pueden aprovechar. No para leer un solo mensaje, sino para trazar relaciones entre órdenes, deducir el calendario operativo e identificar a los responsables de la toma de decisiones antes de que se produzca un suceso crítico. Una empresa de servicios públicos regional que responde a una actividad sospechosa en una subestación. Una agencia de defensa que gestiona una operación sensible. Una autoridad de salud pública que gestiona una crisis. En cada caso, el propio patrón de comunicación tiene valor informativo, independientemente de si se puede leer algún mensaje concreto.

Las herramientas de mensajería para consumidores no se diseñaron para ejercer un control absoluto. Se diseñaron para ampliar el alcance.

Lo que exige el control soberano

La demanda pone de manifiesto una lista de verificación útil para los dirigentes gubernamentales que evalúan su entorno de comunicación. El control soberano implica responder afirmativamente a cada uno de los siguientes puntos:

• ¿Eres tú quien posee las claves de cifrado, y no el proveedor de la plataforma?

• ¿Las copias de seguridad están protegidas de extremo a extremo de forma predeterminada, sin necesidad de configuración manual?

• ¿Están protegidos los metadatos frente a la observación externa, incluidos los patrones de comunicación, los horarios y la identidad de los participantes?

• ¿Controlas quién puede acceder al contenido de los mensajes, sin que ningún sistema externo pueda anular esa configuración?

• ¿Controlas qué dispositivos, usuarios e integraciones pueden acceder a los canales confidenciales?

• ¿Se puede implementar la plataforma en una infraestructura bajo su control, en jurisdicciones que cumplan con sus requisitos de residencia de datos?

Las herramientas de consumo no pueden cumplir con estos requisitos porque se diseñaron para otros fines. El problema surge cuando las organizaciones encargadas de la gobernanza nacional, la coordinación de la defensa o las infraestructuras críticas consideran que las herramientas de uso general son infraestructuras de importancia crítica.

Un estándar en constante evolución

La demanda de Texas no es un caso aislado. En marzo de 2026 se presentó una demanda colectiva paralela en el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California con alegaciones sustancialmente idénticas: que los empleados de Meta y los contratistas de Accenture tenían amplio acceso a mensajes privados que, según se había asegurado a los usuarios, solo ellos podían leer. En conjunto, estos casos reflejan un cambio más amplio en la forma en que los gobiernos y los reguladores están abordando las plataformas de mensajería para consumidores.

La controversia no se centra principalmente en la calidad del algoritmo de cifrado. Se trata de lo que ocurre a su alrededor: si las copias de seguridad en la nube están protegidas, si la mensajería empresarial genera excepciones y si los sistemas internos de acceso de los empleados pueden eludir las garantías del protocolo. Las comunicaciones de importancia crítica requieren una gobernanza, una certificación, una implementación soberana y un control administrativo que ninguna plataforma de consumo está diseñada para proporcionar.

El primer paso práctico

Los responsables deben comenzar por realizar una evaluación honesta del grado en que las herramientas de mensajería para consumidores se han integrado en los flujos de trabajo oficiales. Esto implica analizar la exposición de los metadatos, el estado del cifrado de las copias de seguridad, los controles de identidad y de dispositivos, la ubicación de los datos, la titularidad de las claves y si alguna plataforma de terceros conserva acceso al contenido de los mensajes a través de integraciones, sistemas de copia de seguridad o mecanismos de solicitud internos.

Para las organizaciones en las que la seguridad de las comunicaciones es un requisito fundamental, dar por sentado que el cifrado es suficiente ya no es una postura defendible.

Protege el sistema. No solo el mensaje.