Por qué el cifrado por sí solo no basta para garantizar la seguridad de las comunicaciones móviles

Publicado de nuevo con permiso de Cybersecurity Insiders.

Las organizaciones llevan años reforzando la seguridad de sus redes, entornos en la nube y dispositivos finales. Si bien esas inversiones han sido necesarias y han contribuido a mejorar la resiliencia en toda la empresa, un ámbito que a menudo recibe menos atención es el de las comunicaciones móviles.

Esto es importante porque los dispositivos móviles se han convertido en un elemento fundamental del funcionamiento de las organizaciones. Las decisiones importantes se toman a través de llamadas y mensajes, los equipos coordinan sus actividades entre distintas ubicaciones y la información confidencial se comparte habitualmente a través de canales móviles.

Para los gobiernos, los operadores de infraestructuras críticas y las organizaciones sometidas a una estricta regulación, esto supone un claro riesgo para la seguridad. Las comunicaciones móviles ya no son un canal secundario, sino que forman parte de las operaciones cotidianas.

El estudio «State of Secure Communications 2026» de BlackBerry pone de relieve lo habitual que se ha vuelto esta práctica. El estudio reveló que el 83 % de los responsables de seguridad afirman que se utiliza WhatsApp para mantener conversaciones confidenciales dentro de su organización.

El problema no es que los empleados ignoren deliberadamente la política de seguridad. En muchos casos, simplemente eligen herramientas que son accesibles y fáciles de usar. Es posible que los socios externos utilicen plataformas diferentes, que las herramientas autorizadas no siempre resulten prácticas y que, ante una situación de interrupción, las personas recurran a menudo a los canales que les permiten comunicarse rápidamente.

Como consecuencia, las comunicaciones móviles se han convertido en parte de la realidad operativa de las organizaciones, independientemente de si se diseñaron inicialmente con ese fin o no.

El cifrado es importante, pero no lo es todo

Muchos debates sobre la seguridad de las comunicaciones móviles empiezan y terminan con el cifrado. Sin duda, el cifrado es importante, ya que ayuda a proteger el contenido de un mensaje mientras está en tránsito. Sin embargo, no debe confundirse con una estrategia completa de seguridad de las comunicaciones.

Nuestra investigación reveló que el 52 % de los responsables de seguridad cree que el cifrado protege los metadatos, incluidos los datos de ubicación, las direcciones IP y los patrones de comunicación. El 47 % cree que evita los ataques de suplantación de identidad, «deepfake» o «spoofing», mientras que el 41 % da por hecho que las comunicaciones siguen siendo seguras incluso después de que un dispositivo haya sido comprometido.

Estos resultados sugieren que muchas organizaciones podrían estar depositando demasiada confianza en lo que puede ofrecer el cifrado por sí solo.

El cifrado no verifica identidades ni protege un dispositivo que haya sido objeto de un ataque. Tampoco elimina los riesgos asociados al phishing, la suplantación de identidad o el acceso malintencionado a las plataformas de comunicación.

Más allá de la aplicación de mensajería

A la hora de evaluar los sistemas de comunicaciones móviles, las organizaciones no deben limitarse a comprobar si una aplicación concreta está cifrada.

Los responsables de seguridad deben tener en cuenta el panorama general, incluyendo la verificación de la identidad, la seguridad de las cuentas, la exposición de metadatos y las redes que dan soporte a estos servicios.

Esto se aplica tanto a la mensajería como a las comunicaciones de voz. Las organizaciones suelen centrarse en gran medida en las aplicaciones de mensajería, mientras que prestan menos atención a las comunicaciones de voz, a pesar de que habitualmente se trata información confidencial por teléfono.

El objetivo debería ser comprender dónde tienen lugar las conversaciones confidenciales, cómo se protegen y qué ocurre si un dispositivo o una plataforma se ve comprometida.

Y lo que es más importante, las organizaciones deben reconocer que los atacantes no necesitan necesariamente descifrar el cifrado para obtener información valiosa. En muchos casos, resulta más fácil centrarse en las personas y los dispositivos que rodean una conversación que en la propia conversación.

Un atacante que consiga acceder a una cuenta puede hacerse pasar por un contacto de confianza. Un dispositivo comprometido puede revelar mensajes una vez que estos han sido descifrados. Los metadatos pueden revelar patrones de comunicación y actividad operativa, incluso cuando el contenido de los mensajes permanece protegido. Estas vulnerabilidades se encuentran fuera del canal cifrado, pero pueden tener consecuencias importantes.

Para los gobiernos, los operadores de infraestructuras críticas y otras organizaciones sometidas a una estricta regulación, comprender estos riesgos es cada vez más importante, ya que las comunicaciones móviles desempeñan un papel cada vez más relevante en las operaciones cotidianas.

Las comunicaciones móviles requieren la misma atención en materia de seguridad que el resto de sistemas

Para muchas organizaciones, las comunicaciones móviles son hoy en día tan importantes para las operaciones diarias como las redes y las aplicaciones empresariales. Los equipos de seguridad deben conocer qué canales utilizan los empleados y los socios, qué riesgos conllevan dichos canales y si los controles establecidos son adecuados para el nivel de confidencialidad de la información que se comparte.

El cifrado sigue siendo una parte importante de ese debate, pero no es más que una parte.

Un enfoque más completo exige que las organizaciones reflexionen sobre la identidad, la seguridad de los dispositivos y la forma en que se comparte la información a través de los distintos canales.

Las organizaciones deben conocer qué canales utilizan los empleados y los socios externos, cómo se controla el acceso y qué medidas de seguridad se han establecido en caso de que un dispositivo, una cuenta o un servicio se vean comprometidos. También deben tener en cuenta qué información puede quedar expuesta a través de los metadatos, incluso cuando el contenido de los mensajes permanezca cifrado, y si disponen de suficiente visibilidad sobre cómo se comparte la información confidencial.

Las comunicaciones móviles no existen de forma aislada; se integran con los sistemas de identidad, las redes y los procesos operativos de los que dependen las personas en su día a día. La seguridad suele depender tanto de las personas, las cuentas y los dispositivos implicados como de la propia aplicación.