La comunicación del abogado con el cliente se produce cada vez más a través de mensajeros, y no de la telefonía habitual. Permiten intercambiar mensajes y documentos y realizar llamadas de audio y vídeo; sin embargo, la mera existencia de cifrado no implica una confidencialidad absoluta. Para proteger el secreto profesional es importante evaluar no solo el canal de transmisión, sino todo el sistema: el mensajero, la infraestructura de servidores, la cuenta, el dispositivo del abogado y el del cliente.
Por qué la comunicación pasó a los mensajeros
El desarrollo de internet móvil y la difusión de las redes 3G, 4G y 5G han cambiado de forma sustancial la comunicación cotidiana. Las llamadas de voz y los SMS han cedido en gran medida el terreno a mensajeros que permiten transmitir no solo voz, sino también texto, documentos, fotografías, vídeo y otra información a través de internet.
Para el abogado es cómodo, porque una parte importante de la comunicación con el cliente puede ocurrir en una sola aplicación. Al mismo tiempo, eso significa que en un mismo entorno se concentra un gran volumen de información que puede constituir secreto profesional.
Conforme al artículo 22 de la Ley de Ucrania «Sobre la abogacía y la actividad de abogado», el secreto profesional abarca, entre otros, la información sobre el cliente, las cuestiones por las que se dirigió, el contenido de las consultas y aclaraciones, y los documentos e información almacenados en soportes electrónicos. Por ello, la protección de los mensajeros tiene relación directa con la actividad profesional del abogado.
No existe un mensajero absolutamente «a prueba de escuchas»
Al elegir un medio de comunicación es importante evitar un enfoque simplista en el que un mensajero se considera absolutamente seguro y otro absolutamente inseguro.
La seguridad depende de la arquitectura del servicio concreto, del modelo de cifrado, del mecanismo de autenticación, del almacenamiento de mensajes, de las copias de seguridad, de la protección de los dispositivos finales y de la conducta de los propios usuarios.
Tiene importancia fundamental si se aplica cifrado de extremo a extremo (end-to-end encryption). En ese modelo, el mensaje se cifra en el dispositivo del remitente y solo debería descifrarse en el del destinatario. Con una implementación correcta, el servidor se usa para transmitir datos cifrados, pero no debe disponer de la clave para leer el contenido.
Por ejemplo, Signal afirma que los mensajes y las llamadas del servicio están siempre protegidos con cifrado de extremo a extremo. Telegram usa otro modelo: los chats en la nube ordinarios aplican cifrado entre cliente y servidor y se almacenan en Telegram Cloud, mientras que los Secret Chats usan un cifrado de extremo a extremo separado y están vinculados a dispositivos concretos.
Por ello, al evaluar un mensajero, el abogado debe mirar más allá del eslogan publicitario de que «los datos están cifrados» y entender dónde se cifran, quién puede tener las claves y dónde se guarda el historial de la conversación.
Un transporte protegido no es toda la seguridad
Interceptar un tráfico moderno correctamente cifrado durante su transmisión por la red es una tarea mucho más difícil que obtener información a través de una cuenta o un dispositivo final comprometidos.
Por eso, para el abogado el riesgo práctico suele situarse no en el medio del canal, sino en sus extremos.
Ni siquiera un cifrado fuerte del canal de transporte ayuda si un tercero obtiene acceso al propio teléfono, a una sesión activa del mensajero o a la cuenta del usuario. En ese caso, la información puede obtenerse después de que la aplicación la haya descifrado legalmente para mostrársela al propietario del dispositivo.
Por eso la pregunta «¿está cifrado el mensajero?» es solo una de las que hay que formular al evaluar su seguridad.
Qué ocurre en el servidor del mensajero
Una cuestión aparte es la parte de servidor del servicio.
El usuario ve la aplicación móvil o de escritorio, pero la mayoría de los sistemas modernos de mensajería también tienen infraestructura de servidores. A través de ella se realizan la autenticación, el enrutamiento de mensajes, la sincronización de dispositivos y otros procesos operativos.
El volumen de información accesible al servidor depende de la arquitectura del mensajero concreto. En servicios con cifrado de extremo a extremo, el servidor puede no tener acceso al contenido del mensaje, pero ciertos datos de servicio pueden seguir siendo necesarios para el funcionamiento del sistema.
Por ello no es correcto partir de la idea de que absolutamente todos los mensajeros guardan necesariamente el contenido de cada conversación. Tampoco es correcto asumir automáticamente que el servidor no sabe nada del usuario solo por existir cifrado.
También importa la apertura del código. La posibilidad de revisar el código fuente del cliente o del servidor eleva el nivel de verificabilidad técnica. Signal, por ejemplo, publica el código de clientes y de la parte de servidor. Sin embargo, el código abierto por sí solo no garantiza de forma absoluta que una infraestructura concreta funcione en un momento dado exactamente con la configuración que el usuario examinó.
Por tanto, el abogado debe considerar el servidor del mensajero como un elemento separado del modelo de amenazas.
La información en el propio teléfono puede importar más que el servidor
Otro problema sustancial es el almacenamiento local de la información.
Aunque el mensaje viaje por un canal sólidamente protegido, al final debe mostrarse en el teléfono o el ordenador del usuario. En el dispositivo final pueden permanecer el historial del chat, adjuntos, fotografías, documentos, caché de la aplicación, notificaciones de mensajes nuevos y otros datos.
Por eso la protección del mensajero no puede separarse realmente de la protección del propio dispositivo.
Si el teléfono del abogado o del cliente es desbloqueado por un tercero, está infectado con malware o está comprometido de otro modo, la protección criptográfica del canal ya no resuelve todo el problema.
En otras palabras, ni siquiera un mensajero muy seguro puede compensar un dispositivo final completamente desprotegido. Véase también cómo saber si tu teléfono está intervenido.
Toma de control de la cuenta
Una categoría aparte de riesgos no está ligada a la criptografía, sino a la lógica de autenticación.
Parte de los mensajeros usan el número de teléfono como uno de los principales identificadores del usuario. Otros pueden usar correo electrónico, contraseña, códigos QR, enlaces de un solo uso o una combinación de varios métodos.
Si para entrar basta con controlar el número de teléfono y un código de un solo uso, el compromiso de ese mecanismo puede crear un riesgo de toma de control de la cuenta. Puede ocurrir, por ejemplo, si el atacante obtiene el código de autenticación o el control del número.
Por eso una contraseña adicional o la verificación en dos pasos es un elemento importante de protección allí donde el mensajero lo permite.
Esto se vuelve especialmente crítico en servicios cuya historia de mensajes se sincroniza a través del servidor. Si un tercero conecta con éxito una nueva sesión autorizada, las consecuencias pueden ser mucho más graves que la interceptación de un solo código SMS.
Telegram, por ejemplo, permite usar una sola cuenta en varios dispositivos, y sus mensajes en la nube ordinarios se sincronizan entre ellos. Los Secret Chats tienen otro modelo y no forman parte de Telegram Cloud.
Anonimato e identificación del usuario
Seguridad y anonimato no son conceptos idénticos.
Un mensajero puede usar un cifrado fuerte y, aun así, la cuenta puede estar vinculada a un número de teléfono, un correo electrónico u otros identificadores.
Por ello el abogado debe entender por separado qué información se usa para crear y recuperar la cuenta, qué ven otros usuarios y qué identificadores pueden permanecer en el propio servicio.
Esto es especialmente importante cuando la confidencialidad no solo afecta al contenido de las negociaciones, sino también al propio hecho de la comunicación entre un abogado concreto y un cliente concreto.
Las reglas deben cumplirlas ambas partes
Una de las condiciones más importantes de una comunicación segura es el mismo nivel de disciplina de todos los participantes.
Tiene poco sentido práctico que el abogado proteja al máximo su teléfono y su cuenta si el cliente usa una contraseña débil, no aplica protección adicional de acceso o deja sesiones abiertas del mensajero en dispositivos de terceros.
La seguridad del proceso de negociación la define su eslabón más débil.
Por eso, en asuntos especialmente sensibles, abogado y cliente deben seguir reglas acordadas de uso del mensajero: emplear un canal de comunicación claro, controlar dispositivos y sesiones activos, y proteger el acceso a las cuentas y a los propios dispositivos.
No se trata de crear un procedimiento técnico complejo para cada consulta. Se trata de entender que la confidencialidad depende de ambas partes de la conversación.
Solicitudes a los operadores de mensajeros
Otro aspecto es la información de la que dispone de hecho el propio proveedor del servicio.
Los operadores de servicios en línea pueden recibir solicitudes de autoridades policiales u otros órganos competentes en la forma prevista por la ley. Sin embargo, el volumen de información que el servicio puede proporcionar técnicamente depende directamente de qué datos recopila y almacena.
Por eso no puede afirmarse que cualquier mensajero pueda entregar, a petición, toda la correspondencia del usuario.
Signal, por ejemplo, indica públicamente que, por su arquitectura, no tiene acceso al contenido de mensajes, llamadas y un amplio conjunto de datos relacionados, y por tanto no puede entregar lo que no almacena. La política de privacidad de Telegram contempla la posibilidad de revelar la dirección IP y el número de teléfono ante una solicitud adecuada de autoridades judiciales competentes en los casos definidos por esa política.
Por ello, al evaluar riesgos conviene distinguir el contenido de los mensajes, los metadatos y los datos de registro.
Pérdida o incautación del teléfono
Un riesgo aparte surge cuando un tercero obtiene físicamente el teléfono.
Puede tratarse de la pérdida del dispositivo, de su robo o de una incautación en la forma prevista por la ley.
En ese caso el objetivo principal ya no es el tráfico de red, sino la información que se encuentra directamente en el dispositivo. La posibilidad de obtenerla depende del modelo del teléfono, de la versión del sistema operativo, del estado del dispositivo, del método de bloqueo, de la protección criptográfica y de otros factores técnicos.
Por tanto, no debe partirse de la idea de que los datos de cualquier smartphone moderno pueden obtenerse «fácilmente». Tampoco es correcto confiar en que el mero uso de un mensajero seguro hace automáticamente imposible el examen del dispositivo.
Para el abogado, esto vuelve a subrayar la necesidad de proteger no solo la cuenta del mensajero, sino también el teléfono como soporte físico de información confidencial.
El mensajero no protege frente a las escuchas del propio local
Ni siquiera un canal de comunicación idealmente protegido resuelve el problema de la captación física del sonido.
Si el abogado realiza una llamada por mensajero en un local donde hay un micrófono ajeno u otro dispositivo de grabación, el adversario no necesita atacar la criptografía del mensajero.
Ese riesgo se vuelve especialmente evidente con el manos libres. En ese caso la conversación se reproduce físicamente en el local y puede grabarse con cualquier medio capaz de captar información acústica.
Por eso la seguridad del mensajero y la protección técnica del lugar de las negociaciones deben considerarse cuestiones interrelacionadas. Véase también cómo proteger una sala de reuniones de escuchas y el material sobre confidencialidad abogado-cliente.
Infraestructura propia basada en Matrix
Cuando una organización necesita un mayor control sobre la infraestructura de comunicaciones, un enfoque posible es usar un servidor propio basado en el protocolo abierto Matrix.
Matrix permite desplegar un homeserver propio y admite cifrado de extremo a extremo para comunicaciones privadas. Eso da a la organización la posibilidad de controlar por sí misma la infraestructura de servidores en lugar de depender por completo de un único proveedor externo.
Para un control adicional del acceso a la red, esa infraestructura puede usarse junto con VPN y reglas propias de gestión del servidor y de las claves.
Sin embargo, un servidor propio no debe percibirse como una solución automáticamente más segura. Su protección, actualizaciones, respaldo y administración también pasan a ser responsabilidad del propietario. Por eso este enfoque tiene sentido sobre todo cuando existen las competencias técnicas necesarias y la capacidad de mantener adecuadamente la infraestructura.
Un sistema operativo reforzado como capa adicional
El último nivel al que conviene prestar atención es el sistema operativo del propio smartphone.
Para usuarios con un modelo de amenazas elevado pueden aplicarse soluciones especializadas con mecanismos de seguridad reforzados. Un ejemplo es GrapheneOS: un sistema operativo basado en Android Open Source Project, orientado a reducir la superficie de ataque, reforzar el aislamiento de aplicaciones y mejorar la protección frente a la explotación de vulnerabilidades.
Al mismo tiempo, ningún sistema operativo crea una probabilidad nula de infección por malware. Su función es reducir la superficie de ataque, dificultar la explotación de vulnerabilidades y limitar las consecuencias de un posible compromiso.
Por eso un sistema operativo reforzado es un elemento adicional, no un sustituto de otras medidas de seguridad.
Conclusión
La seguridad de la comunicación del abogado con el cliente en un mensajero no se define solo por el nombre de la aplicación o por la presencia de la palabra «encrypted».
Hay que evaluar a la vez el modelo de cifrado, la arquitectura de servidores, la forma de almacenar el historial de mensajes, el mecanismo de autenticación, la vinculación de la cuenta a un número de teléfono u otros identificadores, las sesiones activas y la protección del dispositivo final.
Por separado hay que tener en cuenta la posibilidad de acceso físico al teléfono, el examen de la información almacenada en él y la obtención del contenido de las negociaciones mediante medios técnicos instalados directamente en el local.
Además, las mismas reglas deben cumplirlas tanto el abogado como el cliente. Si una parte protege adecuadamente sus dispositivos y cuentas y la otra no, el nivel general de confidencialidad desciende.
En situaciones con mayores exigencias de control pueden considerarse sistemas de comunicación propios basados en Matrix, el uso adicional de VPN y sistemas operativos reforzados. El principio principal permanece igual: hay que proteger no un mensajero aislado, sino toda la cadena de transmisión y almacenamiento de la información.
Precisamente ese enfoque integral permite al abogado reducir los riesgos de compromiso de las negociaciones, proteger la información del cliente y tratar con el debido cuidado la preservación del secreto profesional en las comunicaciones digitales modernas.
Mensajeros y secreto profesional
¿Necesita evaluar la seguridad de la comunicación con el cliente?
El equipo de ProDefence puede ayudar a revisar el modelo de amenazas del mensajero, las cuentas y los dispositivos finales y, si procede, realizar un reconocimiento TSCM del local para negociaciones confidenciales. Sin promesas injustificadas de «seguridad absoluta».
Confidencial. Sin solicitar frase semilla ni claves privadas.
