¿Es cierto que se puede acceder a grupos de WhatsApp sin ser invitado?

En las últimas horas se ha extendido una información que afirma que WhatsApp tiene un grave problema de seguridad ya que Google está indexando entre sus resultados miles de enlaces para acceder a grupos privados sin haber sido invitado.

Medios de gran tirada internacional pero también nacional han publicado artículos con titulares alarmistas como «Whatsapp: el fallo grave de seguridad que deja tus fotos y conversaciones al descubierto en los grupos» o «WhatsApp sufre un grave fallo de seguridad: cualquiera puede acceder a tu grupo privado desde Google»

La realidad es bastante diferente (y mucho menos grave) de lo que se explica en algunos de estos artículos, como vamos a explicar a continuación.

El origen del «problema»: Los enlaces de invitación a grupos

Desde hace tiempo, WhatsApp permite crear un enlace (y un código QR) de invitación que puedes compartir con otras personas a las que quieras dar acceso a un grupo de WhatsApp. Cualquier persona que tenga ese enlace puede utilizarlo para unirse al grupo.

Los enlaces tienen la estructura https://chat.whatsapp.com/xxx y, como indica WhatsApp en la pantalla de creación del enlace, este enlace debes compartirlo «solo con personas en las que confíes.»

Si publicas este enlace en una página web que esté abierta a cualquier visitante, por ejemplo un foro de Internet, cualquier usuario que visite dicha página podrá acceder al grupo pulsando sobre el enlace. Dado que Google rastrea todas las páginas webs públicas de Internet, el buscador también indexará esos enlaces.

Por eso, si realizas la búsqueda chat.whatsapp.com en Google aparecen miles de resultados.

Entonces ¿WhatsApp tiene un fallo de seguridad o no?

Por supuesto que no. Si Google ha indexado ese grupo es porque uno o varios de sus miembros han decidido compartirlo en una página web pública, probablemente porque es un grupo al que quiere que se una gente desconocida. No es la primera vez que vemos organizarse en grupos de WhatsApp a usuarios que no se conocen para propósitos comunes (por ejemplo, reclamaciones colectivas a empresas).

Echar la culpa a WhatsApp (o Google) porque los enlaces que se han compartido públicamente aparecen en los resultados de buscador es lo mismo que culpar a Telefónica de que Google muestre el número de teléfono de un usuario si este lo ha publicado en una página web.

WhatsApp ha emitido un comunicado ante esta desinformación:

Los administradores de grupo en los grupos de WhatsApp pueden invitar a cualquier usuario de WhatsApp a unirse a ese grupo compartiendo un enlace que hayan generado. Al igual que todos los contenidos que se comparten en los canales públicos de búsqueda, los enlaces de invitación que se publican en Internet pueden ser encontrados por otros usuarios de WhatsApp.

Los enlaces que los usuarios deseen compartir de forma privada con personas que conozcan y en las que confíen no deben publicarse en un sitio web de acceso público. WhatsApp

Por tanto, si ninguno de los miembros de tu grupo de WhatsApp ha publicado el enlace de invitación en un foro público, no tienes nada que temer. De hecho, puedes generar tú mismo el enlace y hacer una búsqueda en Google para comprobar si tu grupo aparece listado en alguna página de Internet.

¿Podría hacer algo WhatsApp para evitarlo?

Partiendo de la base de que no es culpa de WhatsApp sino del usuario que ha decidido compartir el enlace, hay algunas cosas que podría hacer WhatsApp para minimizar el problema.

WhatsApp podría ofrecer crear enlaces de invitación a los grupos de un solo uso para que solo puedan ser utilizados por el usuario al que se lo envías, pero que este no pueda reenviarlo a otras personas o publicarlo en Internet para que otras personas se puedan unir.

Otra idea sería podría requerir que todas personas que se añaden a un grupo deban ser validadas por el administrador antes de tener acceso al mismo. O al menos dejar esta validación como algo opcional.

También sería interesante que un enlace de invitación pudiera ser anulado para que, en caso de que sea publicado, quede sin funcionamiento.