El fallo de llamadas de Telegram demuestra que tu mensajería es la puerta principal

¿Qué aplicación de tu móvil esperarías que estuviera preparada para tratar con desconocidos? Probablemente la que está hecha para hablar con desconocidos todo el día. Ahí está precisamente el problema: un servicio de mensajería tiene que aceptar llamadas, archivos y datos de gente a la que no has visto nunca, y esta semana Telegram ha demostrado lo que pasa cuando esa puerta se queda entreabierta.

Según The Hacker News, la firma de seguridad NebuSec demostró la ejecución de código a través de una llamada de voz contestada en Telegram para Android, y el fallo se corrigió en la versión 12.10.4. Otras publicaciones, como Total Security, cuentan que el error podía encadenarse con otras dos vulnerabilidades para hacerse con el control total del móvil de la víctima en cuanto descolgaba. El medio portugués Tugatech añade que llevaba cuatro años en la aplicación sin ser detectado.

Conviene ser prudentes con lo que la documentación no dice. Los fragmentos que tenemos no aclaran si alguien llegó a explotar el fallo en un ataque real, y no vamos a especular. Lo que sí describen es una prueba de concepto en la que, como resume Space Money, la persona no tenía que hacer nada más que aceptar la llamada.

Lo más inquietante es lo corriente que es el desencadenante

La mayoría tenemos una idea del hackeo de móviles que implica hacer algo torpe: pulsar un enlace dudoso, instalar un APK sospechoso, escribir una contraseña en una página falsa. Este fallo rompe ese esquema. Contestar una llamada es el gesto más natural que existe en un móvil, y ninguna dosis de «tener cuidado» te protege de un botón que siempre has tenido que pulsar.

Eso cambia el consejo. Durante años, las recomendaciones de seguridad se resumían en la vigilancia del usuario. Aquí la vigilancia sirve de poco, y la única defensa real está en el lado del software: el parche.

Las apps de mensajería son el nuevo perímetro, nos guste o no

Piensa en lo que hace una aplicación de mensajería moderna: procesa imágenes, enlaces, flujos de voz y datos para establecer llamadas, buena parte de ellos procedentes de remitentes en los que no se puede confiar. Cada uno de esos elementos es código que puede contener un error. En nuestra opinión, eso convierte a las apps de chat en un objetivo más atractivo que el propio sistema operativo, porque están instaladas en todas partes, siempre activas y abiertas a cualquiera que tenga tu número o tu nombre de usuario.

Hay además un contexto más amplio. InfoMoney informa de que la inteligencia artificial está sacando a la luz fallos de software tan deprisa que los ingenieros corren para corregirlos antes de que los exploten los hackers, y de que Google ha corregido este año más fallos graves que en los ocho años anteriores juntos. No podemos afirmar que fuera una IA la que encontró este error de Telegram, y nada en la documentación lo sugiere. Pero es razonable esperar más divulgaciones como esta, no menos, y que un error de hace cuatro años salga a la luz ahora puede indicar que el código antiguo se está revisando con más lupa que nunca.

Actualiza ya y deja de valorar las apps por su reputación

La propia página de soporte de Telegram la describe como una aplicación de mensajería basada en la nube centrada en la seguridad y la velocidad. Ese es el argumento de venta, y un fallo como este tiene poco que ver con él. La reputación te dice cómo habla una empresa; el número de versión te dice si estás expuesto.

La otra cara de la historia son los hábitos de actualización en Android. Android Authority señala que el 43,6 % de los dispositivos activos sigue con Android 13 o anterior. Esta corrección, sin embargo, llegó en la propia aplicación (versión 12.10.4), no con una versión del sistema operativo. Tal como lo vemos, eso significa que lo único que depende de ti son unos pocos toques en la pantalla, no esperar al fabricante de tu móvil.

Así que nuestra recomendación es sencilla. Comprueba que Telegram para Android esté en la versión 12.10.4 o posterior. Activa las actualizaciones automáticas de tus aplicaciones de mensajería, que son las más expuestas a desconocidos. Y si no necesitas las llamadas de voz en una app concreta, plantéate si quieres que esa función acepte conexiones.

Nuestro veredicto: la lección no es que «Telegram no es seguro». Cualquier servicio de mensajería con llamadas podría tener un error así. La lección es que confiar en una marca es una estrategia más débil que actualizar el primer día. Primero el parche; la reputación, ya la admirarás después.