Hace casi un año, el medio Important Stories publicó una investigación sobre los vínculos de Telegram con el FSB; la versión en inglés apareció en el sitio de OCCRP. Los autores afirmaban que el servicio secreto puede construir una red de conexiones entre usuarios de la mensajería en todo el mundo. Se basaban en dos argumentos: la presencia de un identificador de dispositivo no cifrado (auth_key_id) en el tráfico y los vínculos de Vladímir Vedéneev —dueño de la empresa Global Network Management (GNM), que según la investigación gestiona una parte significativa de la infraestructura de servidores de Telegram.
Qué mostró el peritaje
En 2025, Vedéneev presentó demandas contra el redactor jefe de Important Stories, Román Anin, en Suiza, y contra OCCRP en Estados Unidos. Para respaldar su posición, encargó un peritaje a la empresa Symbolic Software, realizado por su fundador, Nadim Kobeissi, investigador franco-libanés de criptografía aplicada y crítico público del modelo de seguridad de Telegram. Kobeissi reprodujo el estudio técnico del experto polaco Michał Woźniak, citado por Important Stories, y confirmó las conclusiones principales: el auth_key_id es en la práctica un identificador del dispositivo, visible en el tráfico, que se conserva al reiniciar la aplicación y al cambiar de dirección IP, y los identificadores cambiantes son fáciles de correlacionar mediante observación continua. Según Kobeissi, esto permite rastrear los desplazamientos de los dueños de los dispositivos, incluso si cambian de Wi-Fi o de tarjeta SIM.
Sin embargo, según escribe Meduza, el experto puso en duda otras conclusiones de la investigación. Señaló que reconstruir el grafo social de un usuario —quién se escribe con quién— es prácticamente imposible debido a la arquitectura centralizada de Telegram: el servidor descifra el mensaje con una clave, lo cifra con otra y lo transmite al destinatario junto con otros datos, lo que dificulta la búsqueda del receptor. Cualquier conclusión sobre vínculos basada únicamente en el análisis del tráfico será probabilística, afirma Kobeissi. La excepción son los encuentros presenciales, cuando la coincidencia regular de lugar y hora permite establecer una conexión.
Críticas a la metodología
Kobeissi también critica la metodología de la investigación: la conexión del proveedor de infraestructura con los servicios secretos rusos, en su opinión, se establece mediante pruebas indirectas. Lo calificó de «culpa por asociación»: la cadena se construye sobre el hecho de que la empresa de Vedéneev gestiona parte de la infraestructura de Telegram, que la GlobalNet fundada por él tiene clientes estatales y, por lo tanto, los servicios secretos podrían tener acceso al tráfico. A modo de comparación, el experto citó Signal, que utiliza la infraestructura de Amazon, la cual tiene contratos con la CIA y la NSA, pero eso no significa capacidades especiales de vigilancia sobre los usuarios de Signal.
Al mismo tiempo, Kobeissi subrayó que la crítica al enfoque geopolítico no anula la realidad de la vulnerabilidad: «La vulnerabilidad técnica es real y afecta a todos los usuarios de Telegram, independientemente de qué atacantes concretos puedan explotarla. Los proveedores de infraestructura de cualquier país —ya sea Rusia, Estados Unidos, China u otros Estados— son potencialmente capaces de aprovechar esta vulnerabilidad si tienen acceso a la red».
Qué puede el FSB y cómo protegerse
Según la evaluación de Meduza, en teoría el FSB puede rastrear a los usuarios por el identificador al menos en el territorio de Rusia, pero es difícil estimar la escala de la vigilancia masiva. La observación selectiva de dispositivos concretos es posible: los operadores de telecomunicaciones, según la «ley Yarovaya», están obligados a almacenar el tráfico durante seis meses y a proporcionar acceso a él a los empleados de los servicios secretos. Una VPN sustituye la dirección IP, pero no oculta el auth_key_id durante la transmisión entre el servidor VPN y el servidor de Telegram. Si el servicio secreto no tiene acceso a los datos de los proveedores de infraestructura, la VPN ayuda; si lo tiene, como supone Important Stories, no. Kobeissi afirma que solo los desarrolladores de Telegram pueden cerrar la vulnerabilidad.
Los desarrolladores de Telegram no reconocieron la vulnerabilidad. En una publicación difundida un par de semanas antes del artículo, declararon: «Cualquier observador capaz de ver tu auth_key_id también ve tu dirección IP, los nombres de los servidores a los que te conectas, la naturaleza de tu tráfico, las consultas DNS y mucho más. Ocultar un identificador que cambia con frecuencia es como cerrar una ventana en un edificio construido casi por completo de cristal».
1
