La policía alemana lee WhatsApp y Telegram clonando cuentas sin romper el cifrado

La policía aduanera alemana lleva más de un año leyendo mensajes privados de WhatsApp, Signal y Telegram sin necesidad de hackear el cifrado ni instalar un troyano. El método, revelado por Netzpolitik a partir de documentos internos del organismo de inteligencia criminal aduanero alemán (ZKA), se llama "clonación de cuenta" y aprovecha funciones estándar que cualquier usuario conoce. Desde el 1 de agosto de 2025, esta técnica es un instrumento oficial para investigar delitos graves.

Cómo funciona

El truco no requiere vulnerabilidades de seguridad. Los investigadores autorizan su propio ordenador en la cuenta del sospechoso exactamente igual que lo haría el propietario al conectar WhatsApp Web o Signal Desktop: mediante un código QR. Para obtenerlo, lo habitual es el acceso físico al móvil durante un registro o detención. Pero también se han documentado casos en los que se interceptan SMS de verificación o se recurre a la ingeniería social.

Un ejemplo citado en los documentos es revelador: una pareja entregó voluntariamente sus teléfonos a la policía para mostrar conversaciones con su hija. Los investigadores aprovecharon ese momento para vincular WhatsApp Web a su ordenador y continuaron recibiendo mensajes nuevos incluso después de devolver los dispositivos.

El problema legal y técnico

Una vez clonada la cuenta, el dispositivo policial recibe todos los mensajes en texto claro, ya descifrados. Además, durante la sincronización puede recuperar conversaciones antiguas: en el caso de Signal, según Heise, hasta 45 días de historial previo.

El ZKA clasificó inicialmente este método como vigilancia de telecomunicaciones ordinaria. Pero en enero de 2026 el Tribunal Supremo Federal alemán dictaminó que el acceso encubierto a cuentas de Telegram es una intervención más grave —denominada "vigilancia en la fuente"— que exige garantías judiciales adicionales. A pesar de ello, una directiva interna del ZKA de febrero de 2026 siguió apoyándose en una resolución de 2020 para justificar la práctica, según Reclaim the Net.

Hay además un riesgo técnico de exceso de acceso: el dispositivo vinculado puede ver la lista de contactos y archivos adjuntos no cubiertos por la orden judicial, e incluso enviar mensajes en nombre del titular, algo que la legislación alemana prohíbe expresamente durante una vigilancia.

La laguna europea que afecta a España

España no dispone de un programa de clonación de cuentas equivalente, y la Agencia Española de Protección de Datos (AEPD) no ha emitido ninguna posición pública sobre esta técnica ni sobre la vigilancia transfronteriza de mensajería. Eso deja abierta una pregunta incómoda: si las autoridades alemanas pueden clonar una cuenta de WhatsApp registrada con un número español, ¿qué marco legal lo regula dentro de la UE?

La Unión Europea debatió en 2025 una propuesta de "participante fantasma" para acceder a chats cifrados, pero fue descartada. Alemania, mientras tanto, ya lo hacía por la vía de los hechos. El debate sobre estándares comunes de vigilancia digital en Europa acaba de volverse más urgente.