La verificación, llevada a cabo por la empresa Symbolic Software y obtenida por Important Stories, mostró que los clientes de Telegram transmiten mensajes de tal forma que un identificador llamado «auth_key_id» queda al descubierto o en una forma fácilmente desofuscable. Este identificador permanece invariable entre sesiones, al cambiar de dirección IP, al cambiar de red y al cambiar de ubicación geográfica.
Esto significa que un proveedor de internet, un administrador de red, un sistema de vigilancia estatal o cualquier otro actor con acceso pasivo al tráfico de Telegram puede recopilar dichos identificadores sin descifrar el cifrado, sin interceptar certificados y sin intervenir activamente en la conexión.
Según los expertos, dicho acceso permitiría a un observador crear una base de datos que vincule dispositivos concretos con ubicaciones de red, marcas temporales y la naturaleza del tráfico. Si la identidad del usuario se conoce por otras fuentes, esos mismos datos pueden utilizarse para rastrear el dispositivo a lo largo del tiempo.
Antecedentes: la investigación de 2025
En 2025, una investigación de OCCRP e IStories reveló que el ingeniero de redes ruso Vladímir Vedéneev trabajaba como director financiero de Telegram, tenía poder para firmar documentos en nombre de Telegram y de su fundador Pável Dúrov, y además gestionaba empresas vinculadas a estructuras estatales y de seguridad rusas, incluido el FSB. El propio Vedéneev admitió tener un supervisor del FSB y reaccionar ante solicitudes de los servicios secretos relacionadas con usuarios de internet rusos. Vedéneev negó la existencia de la vulnerabilidad descrita por los periodistas y afirmó que no entrega datos de Telegram al FSB.
La postura de Telegram
Telegram rechazó las últimas conclusiones. En su respuesta a Important Stories, la empresa afirmó que el parámetro «auth_key_id» cambia con regularidad y no revela información sobre los usuarios, el contenido de los mensajes, los destinatarios ni datos personales. Telegram también comunicó que su infraestructura está gestionada exclusivamente por equipos de ingeniería internos, y negó la vinculación de Vedéneev o de su empresa GNM con el FSB.
1
