La reciente investigación de la Universidad de Viena, que salió a la luz este año, dejó al descubierto una realidad incómoda para millones de usuarios: el número de teléfono se ha convertido en una puerta abierta para la explotación digital. El hallazgo, basado en una falla de diseño que WhatsApp corrigió en octubre de 2025, demuestra que construir la identidad digital alrededor del número móvil no solo es obsoleto, sino peligroso.
Un problema que estuvo activo durante meses
Según los investigadores, la vulnerabilidad estuvo activa entre diciembre de 2024 y abril de 2025. En ese periodo, sistemas automatizados lograron comprobar miles de millones de números a través de la versión web del servicio. No hacía falta forzar servidores ni romper el cifrado. El sistema de verificación de WhatsApp, que depende del número de teléfono, devolvía datos básicos del perfil cuando la cuenta existía.
Esto permitió reconstruir una base masiva con hasta 3,5 mil millones de números, acompañados de fotos, estados y metadatos visibles. La empresa fue notificada en abril de 2025 y aplicó medidas técnicas meses después.
No fue un ataque: fue una consecuencia del diseño
Para Marijus Briedis, CTO de NordVPN, la magnitud del incidente no se explica por la habilidad de los atacantes, sino por una debilidad integrada en la plataforma.
El uso del número de teléfono como identificador convierte a WhatsApp en un blanco fácil para cualquier proceso automatizado capaz de probar combinaciones numéricas. Esa característica, ideal para registrar usuarios con rapidez, también facilita la recolección masiva de información sin necesidad de vulnerar mensajes cifrados.
La lección más importante: los metadatos también son información sensible
El cifrado extremo a extremo protegió las conversaciones, pero la exposición de metadatos volvió a demostrar que lo que rodea al mensaje puede ser tan valioso como el mensaje mismo. Con un número, una foto y un estado, un estafador puede construir ataques de phishing extremadamente convincentes.
A gran escala, esa información se convierte en materia prima para campañas de suplantación, ingeniería social y fraudes que afectan tanto a individuos como a empresas.
Un modelo de identificación que ya no funciona
Briedis advierte que este caso debería servir como llamada de atención para cualquier plataforma que siga usando el número como columna vertebral de la identidad del usuario. Los números telefónicos nunca se diseñaron para ese rol. Son públicos, casi imposibles de cambiar y fáciles de recolectar.
El incidente evidencia la necesidad de evolucionar hacia sistemas más seguros: autenticadores independientes, claves cifradas, identidades digitales que no queden expuestas por algo tan trivial como un número móvil.
Lo que deben asumir los usuarios y las organizaciones
Aunque WhatsApp mitigó el fallo, la enseñanza permanece. Mientras las apps sigan basándose en números telefónicos, los usuarios deben asumir que sus datos visibles de perfil pueden terminar en manos equivocadas.
Las recomendaciones mínimas pasan por restringir quién puede ver la foto de perfil, eliminar estados con detalles personales y reducir el uso público del número cuando sea posible. Las organizaciones, por su parte, deben evaluar si esta exposición afecta su modelo de riesgo, especialmente en áreas sensibles como atención al cliente, soporte o mensajería interna.
