Lamentablemente y a pesar de que el sistema de cifrado de WhatsApp se basa en el protocolo Signal, la implementación que hicieron de este sistema permite reenviar mensajes utilizando diferente clave de cifrado, lo que a su vez permitiría que otros que tienen la clave puedan leer esos mensajes (WhatsApp, Facebook, una agencia del gobierno si el servicio les provee la clave).

Esto fue descubierto hace aproximadamente un año por Tobias Boelter, un investigador en seguridad informática de la Universidad de California, quien alertó a Whatsapp y Facebook del problema, recibiendo como respuesta que «no están trabajando activamente» en el problema y que es un «comportamiento esperado«.

De acuerdo al investigador WhatsApp tiene la habilidad de forzar la generación de nuevas claves para usuarios fuera de línea, lo que no es conocido por el usuario que envía el mensaje si no es notificado, como así tampoco es conocido por el destinatario.  Además también puede forzar al usuario a cifrar nuevamente mensajes con nuevas claves y reenviarlos si no están marcados como entregados.  El volver a cifrar y reenviar el mensaje con las nuevas claves le ofrece a WhatsApp la posibilidad de interceptar el mensaje y por ende la posibilidad de poder leerlo.

El investigador señaló que «si una agencia gubernamental solicita a WhatsApp que revele sus registros de mensajería, puede conceder acceso de manera efectiva debido al cambio de claves«.

La única forma de conocer si esto sucede (el cambio de claves) es a través de una opción en la configuración de seguridad.  Es necesario aclarar que no siempre las claves cambian pues alguien quiere leer sus mensajes, las claves también pueden cambiar por otros motivos como por ejemplo si reinstalan WhatsApp o cambian de sim card.

En respuesta a una pregunta de la publicación The Guardian sobre el tema, un portavoz de Whatsapp indicó que conocen que las razones más comunes del cambio de claves es porque el usuario ha cambiado smartphone o reinstaló WhatsApp.  Además dijo que en muchos lugares del mundo, los usuarios cambian dispositivos y sim cards en forma frecuente.  Por eso implementaron el cifrado de esa forma, para estar seguros de que los mensajes son entregados y no se pierden en «tránsito».   Pero en ningún momento reconocen que este sistema de cifrado no es seguro al 100% y al menos existe la posibilidad de que el servicio pueda leer mensajes.

Para recibir las notificaciones de cambio de clave solo tienen que entrar en Configuración >> Cuenta >> Seguridad  y activar la opción Mostrar Notificaciones de Seguridad.

Con esto al menos conocerán que la clave de cifrado cambió y si es que ustedes han cambiado el terminal, reinstalado la aplicación u otra cosa que obliga al cambio de esa clave no hay problemas, pero si ustedes no han hecho nada…