Una llamada de WhatsApp puede delatar tu ciudad

En noviembre de 2023, los ingenieros de WhatsApp explicaron un compromiso en el que casi nadie piensa al contestar una llamada. Para conseguir el mejor sonido e imagen, las apps de llamadas suelen conectar directamente dos teléfonos, lo que significa, escribieron, que «las direcciones IP son visibles para ambos participantes en una llamada 1:1». Y una dirección IP puede llevar «una ubicación geográfica amplia o el proveedor de internet».

Su respuesta fue un interruptor llamado Proteger la dirección IP en las llamadas (Protect IP address in calls), que Meta describe como opcional: nada cambia hasta que lo activas. Unas semanas antes, TechCrunch había mostrado por qué importa. Un investigador de seguridad llamó a una cuenta de Telegram recién creada que lo tenía guardado como contacto y, poco después, envió a TechCrunch la dirección IP de la computadora en la que funcionaba.

Sin el interruptor, WhatsApp elige la ruta por ti. La empresa dijo a TechCrunch en 2023 que alterna automáticamente entre llamadas directas y retransmitidas, según la latencia y cuál ofrece mejor calidad. Las llamadas grupales ya pasan por sus servidores, según el centro de ayuda de WhatsApp tal como lo recogió BleepingComputer. La exposición está en las llamadas individuales, incluidas las de personas a las que apenas conoces.

Retransmitir oculta tu dirección a la otra persona, no a WhatsApp, cuyos servidores pasan entonces a llevar toda la llamada. Cooper Quintin, investigador de seguridad de la Electronic Frontier Foundation, dijo a TechCrunch que no existe un diseño perfecto: o los participantes se revelan sus direcciones IP entre sí, o los servidores de retransmisión de una app acaban guardando una lista de quién llama a quién.

MaxMind, una empresa que vende datos de ubicación por IP, añade dos salvedades. Las redes móviles pueden repartir una dirección por una zona grande, así que una consulta puede quedarse en la región. Y detrás de una VPN, la consulta encuentra el servidor de la VPN, no a la persona que la usa.

Así que una llamada no llevará a nadie hasta tu puerta, pero aun así puede importar. Runa Sandvik, experta en seguridad digital que trabaja con personas en riesgo, dice que una dirección IP expuesta sigue siendo un riesgo, sobre todo para las víctimas de abusos, según TechCrunch. Para quien se esconde de una expareja, «en algún lugar de este país» y «en esta localidad» son respuestas muy distintas.

1. Step 1Abre los ajustes de privacidad avanzadosEn WhatsApp, ve a Ajustes > Privacidad > Avanzado. En el iPhone, Ajustes puede aparecer como Tú, señaló Tech Advisor en febrero de 2026.
2. Step 2Activa Proteger la dirección IP en las llamadasA partir de ahí, tus llamadas se retransmiten por los servidores de WhatsApp y la otra persona ve la dirección de un servidor en lugar de la tuya. Trusted Reviews señala que la calidad de la llamada puede bajar como consecuencia.
3. Step 3Activa Desactivar vista previa de enlacesEstá en el mismo menú. Cuando envías un enlace, WhatsApp obtiene una vista previa desde tu teléfono, lo que muestra tu dirección IP al sitio web. Con las vistas previas desactivadas, el sitio solo te ve si tocas el enlace.
4. Step 4O usa Ajustes estrictos de la cuentaLanzado en enero de 2026 para personas en mayor riesgo, activa varias protecciones a la vez. TechCrunch informó de que desactiva las vistas previas de enlaces, silencia las llamadas de números desconocidos y limita a tus contactos tu foto de perfil, la sección Info. y tu última conexión.

Los menús cambian de sitio y los ajustes se renombran, así que toma las rutas como orientación y busca las palabras retransmitir, peer-to-peer o dirección IP. El compromiso es el mismo en todas partes. El portavoz de Telegram dijo a TechCrunch que las llamadas directas entre contactos ofrecen mejor calidad y menor latencia, y que la contrapartida es que ambas partes deben conocer la dirección IP de la otra.

La vía del documento sorprende a mucha gente. Una imagen enviada de la forma normal se comprime y pierde sus metadatos, mientras que el mismo archivo adjunto como documento llega intacto. Qué apps borran los metadatos de fotos explica por qué, y eliminar tú mismo la ubicación lleva un minuto.

La ubicación en tiempo real es la única fuga que eliges tú. WhatsApp la comparte con un solo chat, durante el tiempo que decidas, y puedes detenerla en cualquier momento, según la empresa. El mapa de Snapchat va más lejos: muestra a tus amigos tu nivel de batería y cuándo llegas a casa, como explica quién puede ver tu ubicación en Snapchat.

Las fotos de perfil son más públicas de lo que piensa la mayoría. Cuando investigadores de la Universidad de Viena comprobaron 3500 millones de cuentas de WhatsApp en 2025, pudieron ver una foto de perfil pública en cerca del 57% de ellas y un texto de Info. en al menos el 29%. Desde entonces WhatsApp ha añadido límites de frecuencia y reglas de visibilidad más estrictas para la información del perfil, según SBA Research. Lo que muestra la foto es otro asunto: un solo selfi puede revelar dónde vives a través del número de una casa o de la vista desde una ventana.

El estudio, Careless Whisper, salió de la Universidad de Viena y SBA Research y ganó el premio al mejor artículo en la conferencia de seguridad RAID 2025. El truco es una reacción a un mensaje que no existe. El teléfono objetivo devuelve un acuse de recibo pero no muestra nada, y el momento en que llega un flujo constante de esos acuses dibuja el día de la persona.

En una prueba, un voluntario apagó su computadora de casa a las 19:28 y salió hacia la oficina. Los acuses mostraron el teléfono pasando del wifi a los datos móviles y volviendo al wifi a las 19:45, cuando el voluntario llegó al trabajo y se conectó una computadora portátil de la oficina. La conclusión del artículo es tajante: a un atacante solo le hace falta el número de teléfono de la víctima.

El equipo comunicó el fallo a Meta y a Signal en septiembre de 2024. En diciembre de 2025, CyberInsider informó de que ninguna de las dos lo había corregido a nivel de protocolo y de que había aparecido en GitHub una herramienta pública basada en el método. Los límites de frecuencia más estrictos de Signal reducen el gasto de batería y de datos; WhatsApp no tenía esos límites. La mejor defensa que sugiere CyberInsider es Bloquear mensajes de cuentas desconocidas (Block unknown account messages), en Ajustes > Privacidad > Avanzado, que bloquea grandes volúmenes de mensajes de cuentas desconocidas, aunque un sondeo más lento aún podría colarse.

Prueba con una copia sin los datos de ubicación (sirve una captura de pantalla) para que la estimación se base en lo que vio la cámara. En geospys.com, el análisis de fotos viene con GeoSpy Premium, una suscripción de 7,99 dólares estadounidenses a la semana o 29,99 dólares estadounidenses al año, sin límites dentro del uso razonable, que puedes cancelar en cualquier momento. Estima una ciudad y un país, nunca una dirección, y las fotos subidas no se almacenan. La app GeoSpy para iPhone tiene una prueba gratuita.

1. Revisa los dispositivos vinculados. La guía de seguridad de WhatsApp de Refuge sugiere repasar la lista de dispositivos que pueden acceder a tu cuenta y cerrar la sesión de los que no reconozcas.
2. Revisa quién ve qué. Refuge sugiere limitar Últ. vez, Foto de perfil e Info. a Mis contactos o a Nadie, ajustar quién ve tu estado y poner la ubicación en tiempo real en Ninguno.
3. Oculta tu dirección IP. Activa Proteger la dirección IP en las llamadas y Desactivar vista previa de enlaces, o Ajustes estrictos de la cuenta para activar un paquete de protecciones de una vez.
4. Piensa primero en tu seguridad. Refuge advierte de que algunos pasos pueden ser peligrosos si vives con la persona que te hace daño. En el Reino Unido, la National Domestic Abuse Helpline es gratuita en el 0808 2000 247; en Estados Unidos, la National Domestic Violence Hotline atiende en el 1-800-799-7233.