Tecnología Electrónica

¿Se pueden interceptar mensajes de texto? Métodos de intervención telefónica y protecciones

Sí. Los SMS/MMS (sin cifrar) e incluso los mensajes cifrados (iMessage, Signal, WhatsApp) pueden ser interceptados — pero la **superficie de ataque, costo y legalidad difieren enormemente**.

Vectores de interceptación (Taxonomía técnica)

VectorObjetivoMecanismoAcceso requeridoCosto/Habilidad¿Bypass de cifrado?
Ataque de señalización SS7 / DiameterSMS (SS7), Voz (Diameter)Explotar la confianza en protocolos de roaming de telecomunicaciones para redirigir SMS/voz.Acceso a la red SS7 (telco, centro de roaming, nodo hackeado)Alto (estado-nación / crimen organizado)✅ SMS (texto plano). ❌ iMessage/Signal (cifrado de extremo a extremo).
IMSI Catcher (Stingray / Simulador de sitio celular)Todo tráfico celular (2G/3G/4G)Estación base falsa → fuerza degradación a 2G (A5/1 crackeable) o captura IMSI/ubicación.Proximidad física (hardware $10k–$500k)Alto (LE, inteligencia, seguridad corporativa)✅ 2G SMS/Voz. ❌ 4G/5G (autenticación mutua). ❌ Apps E2EE.
Malware / Spyware (Pegasus, Predator, mSpy, FlexiSPY)Dispositivo (todas las apps)Exploit de un clic (iMessage, WebKit) o 1-clic → implante → keylog, captura de pantalla, volcado de BD, micrófono/cámara.Dispositivo del objetivo (remoto o físico)Muy Alto ($100k–$1M+ por 0-day); Bajo ($50/mes para spyware de consumo con acceso físico)✅ **Todo** — lee texto plano *antes* del cifrado / *después* del descifrado en el dispositivo.
Interceptación legal de operador / LEO (CALEA / ETSI LI / SORM)SMS, Voz, Metadatos (IP, IMEI, ubicación)Dispositivo de mediación en MSC/SMSC/IMS → flujo duplicado a la agencia de aplicación de la ley.Orden legal / orden judicial (varía según país)Institucional✅ SMS/Voz (texto plano). ❌ Contenido E2EE (Apple/Google/Signal no pueden descifrar). Solo metadatos.
Fraude de intercambio de SIM / PorteoCódigos 2FA por SMS, Toma de cuentaIngeniería social al operador → portear el número de la víctima a la SIM del atacante.PII de la víctima (SSN, fecha de nacimiento, facturación)Bajo (ingeniería social)✅ OTP por SMS. ❌ 2FA basado en app (TOTP, Push).
Acceso físico / Extracción de copias de seguridadCopias de seguridad del dispositivo (iCloud, iTunes, Google Drive)Extraer copia de seguridad → descifrar (si no hay contraseña / débil) → leer bases de datos de SMS/iMessage/WhatsApp.Dispositivo + contraseña / credenciales de ID de AppleBajo–Medio✅ Si copia de seguridad sin cifrar / contraseña crackeada. ❌ Protección de datos avanzada de iCloud (E2EE).
Fuga de notificación / pantalla de bloqueoVista previa del mensajeVista al hombro / vista previa en pantalla de bloqueo / espejo de dispositivo wearable.Proximidad visualCero✅ Texto plano de vista previa.

Jerarquía de protección (Más fuerte → Base)

  1. Mensajería E2EE (Signal, WhatsApp, iMessage, Threema, Session): Contenido ilegible por operador, ISP, plataforma, LEO (con orden). **Verificar números de seguridad.**
  2. Modo de bloqueo (iOS 16+) / Android endurecido: Reduce la superficie de ataque (sin vistas previas de enlaces, sin FaceTime de desconocidos, sin perfiles de configuración).
  3. 2FA de hardware (YubiKey, Passkeys): Derrota el intercambio de SIM / phishing.
  4. Desactivar 2FA por SMS donde sea posible. Usar TOTP (Authy, Bitwarden, Google Auth) o Passkeys.
  5. Actualizar SO / Apps automáticamente. Parchear 0-days rápido.
  6. Bloqueo de pantalla (6 dígitos + biométrico). Cifra el almacenamiento (Cifrado basado en archivos / Protección de datos).
  7. Ocultar contenido de notificaciones en pantalla de bloqueo.
  8. VPN (WireGuard) en redes no confiables. Oculta metadatos del ISP local.
  9. Protección de datos avanzada (iCloud E2EE) / Copias de seguridad cifradas.

Marco legal (Ejemplo EE. UU.)

  • Ley de Interceptación (18 USC 2511): Criminaliza la interceptación *intencional* de comunicaciones electrónicas/orales. **Excepciones:** Excepción del proveedor (operaciones del carrier), Consentimiento (una parte en 38 estados, todas las partes en 12), LEO con orden Título III.
  • ECPA / SCA: Comunicaciones almacenadas (correo electrónico, SMS en servidor) — orden para contenido < 180 días, citación > 180 días (contestado).
  • Leyes estatales: CA (CIPA), IL (BIPA), WA — más estrictas.

Si sospecha compromiso: Restablecimiento de fábrica (DFU para iOS) → Restaurar desde copia de seguridad *limpia conocida* → Habilitar Modo de Bloqueo → Rotar todas las contraseñas + 2FA → Contactar abogado si es objetivo.

>

<

Mensajería de texto (SMS/MMS)