WhatsApp está dejando de lado el PIN de verificación en dos pasos de 6 dígitos a favor de contraseñas de cuenta adecuadas, y este cambio silencioso es la mayor mejora de seguridad de WhatsApp que la aplicación ha lanzado en años. Un PIN nunca detuvo a un atacante decidido: seis dígitos son un millón de combinaciones, y la mayoría de las personas eligieron una fecha de nacimiento en ese espacio. Una contraseña real, generada con una longitud apropiada y almacenada en un lugar sensato, cierra la puerta por la que han pasado los equipos de intercambio de SIM durante la última década. El guión es bien conocido. Un atacante convence a un representante del operador para que transfiera su número a una nueva SIM, recibe el código de registro de WhatsApp y hereda cada chat, grupo y contacto empresarial vinculado a su cuenta. Las contraseñas fuertes no detienen el intercambio de SIM en sí, pero detienen al atacante de completar la toma del control una vez que tienen su número.
Se probaron siete aplicaciones de Android durante cuatro semanas en el mismo dispositivo para encontrar las que realmente mantienen la cuenta de WhatsApp, su copia de seguridad de Google Drive y sus dispositivos vinculados cerrados.
Qué buscar en una aplicación de seguridad de WhatsApp
- Generación de contraseña aleatoria fuerte, al menos 20 caracteres, que nunca tiene que escribir de memoria.
- Una aplicación 2FA que no dependa de SMS, ya que SMS es exactamente lo que el intercambio de SIM derrota.
- Copia de seguridad cifrada de la bóveda misma, idealmente con una frase de contraseña separada del inicio de sesión.
- Auditoría de sesión y dispositivos vinculados para que pueda detectar un inicio de sesión sospechoso de WhatsApp Web en cuestión de minutos.
- Sincronización entre dispositivos cuando usa un teléfono, una tableta y una computadora portátil, y desea los mismos secretos en los tres.
- Sin almacenamiento en la nube de secretos, o un verdadero diseño de conocimiento cero donde el proveedor no puede leer lo que guarda.
Comparación rápida
| Aplicación | Mejor para | Plan gratuito | Precio inicial/mes | Destacado |
|---|---|---|---|---|
| La cuenta misma | Completamente gratis | Gratis | Bloqueo de aplicación integrado y auditoría de dispositivos vinculados | |
| Aegis Authenticator | Códigos 2FA solo locales | Completamente gratis | Gratis | Bóveda local cifrada, sin nube |
| Bitwarden | Administrador de contraseñas gratuito de código abierto | Completamente gratis | Alrededor de $0,83 (Premium $10/año) | Nivel gratis completo con sincronización |
| 1Password | Mejor UX en la categoría | Prueba de 14 días | Alrededor de $2,99 | Soporte de claves de acceso y bóvedas ocultas |
| Proton Pass | Alias de correo electrónico para privacidad de cuenta | Nivel gratuito ilimitado | Alrededor de $4,99 | Los alias ocultan el correo electrónico real |
| Signal | Mensajero de reserva si WhatsApp está comprometido | Completamente gratis | Gratis | PIN de bloqueo de registro separado |
| Authy | Sincronización 2FA entre dispositivos | Completamente gratis | Gratis | Sincronización en la nube en teléfono, tableta, escritorio |
Las aplicaciones
1. WhatsApp, mejor punto de partida para su cuenta
WhatsApp envía más superficie de seguridad de la que la mayoría de las personas abre. En Configuración, luego Cuenta, luego Verificación en dos pasos, la aplicación ahora lo guía a través de la creación de una contraseña de cuenta adecuada en lugar del PIN de 6 dígitos anterior. En Privacidad, luego Bloqueo de aplicación, el desbloqueo biométrico protege la aplicación misma. El bloqueo de chat oculta conversaciones individuales detrás de un segundo factor. Los dispositivos vinculados enumera cada sesión activa de WhatsApp Web y escritorio, y un toque cierra cualquiera de ellas.
Dónde se queda corto: La contraseña solo vive dentro de WhatsApp. Perderlo y la ruta de recuperación es un período de espera durante el cual la cuenta no se puede usar. Guarde la contraseña en algún lugar fuera del teléfono.
Precio:
- Gratis por siempre.
- Sin nivel de pago.
Plataformas: Android, iOS, escritorio, web.
Conclusión: Abre la aplicación, establece una contraseña de cuenta, activa el bloqueo de aplicación y audita los dispositivos vinculados antes de instalar nada más en esta lista.
2. Aegis Authenticator, mejor 2FA solo local
Aegis Authenticator es la aplicación TOTP de código abierto más limpia en Android. La bóveda está cifrada con una contraseña o clave biométrica, nada sale del dispositivo y las exportaciones son un archivo JSON cifrado simple que otras aplicaciones autenticadoras pueden leer. La contraseña de la cuenta de WhatsApp misma no es un secreto TOTP, por lo que Aegis no es estrictamente necesario para el inicio de sesión de WhatsApp, pero la cuenta de Google o Apple que posee su copia de seguridad en la nube de WhatsApp definitivamente debe tener 2FA de TOTP en ella. Eso es lo que protege Aegis.
Dónde se queda corto: Sin sincronización entre dispositivos por diseño. Cambiar a un teléfono nuevo significa una exportación cifrada e importación manual.
Precio:
- Gratis por siempre.
- Sin nivel de pago, sin anuncios.
Plataformas: Android.
Conclusión: Empareja con la cuenta de Google o Apple detrás de tu copia de seguridad de WhatsApp. Cualquiera que quiera secretos fuera de la nube por completo debe comenzar aquí.
3. Bitwarden, mejor administrador de contraseñas gratuito de código abierto
Bitwarden es donde debe vivir la contraseña de cuenta de WhatsApp real. El nivel gratuito es completo: contraseñas ilimitadas, dispositivos ilimitados, sincronización entre dispositivos y una extensión de autofill de navegador que funciona en el teclado de Android. Almacenar la nueva contraseña de WhatsApp allí significa que sobrevive a la pérdida del teléfono, un restablecimiento de fábrica o el día en que finalmente actualice el dispositivo.
Dónde se queda corto: La aplicación de Android se reescribió en 2024 y la nueva interfaz aún se siente más áspera que la del navegador. El almacenamiento de TOTP está detrás de Premium.
Precio:
- Gratis por siempre con sincronización entre dispositivos.
- Premium es de alrededor de $10 por año (aproximadamente $0,83 por mes) y agrega TOTP, datos adjuntos de archivos cifrados y acceso de emergencia.
Plataformas: Android, iOS, escritorio, extensiones de navegador, web.
Conclusión: La recomendación predeterminada para cualquiera que nunca haya usado un administrador de contraseñas. Código abierto, barato y lo suficientemente bueno para el caso de uso de WhatsApp con espacio para crecer.
4. 1Password, mejor UX en la categoría
1Password es la opción de pago en la que las personas que ya usan administradores de contraseñas tienden a quedarse. El soporte de clave de acceso es nativo, el autofill en Android es el menos tedioso del grupo, y Travel Mode oculta temporalmente las bóvedas seleccionadas del dispositivo antes de cruzar una frontera, por lo que un control fronterizo nunca revela su contraseña de WhatsApp incluso si el teléfono se desbloquea. La función Watchtower marca activamente contraseñas débiles o reutilizadas en todos tus inicios de sesión.
Dónde se queda corto: Sin nivel gratuito más allá de la prueba de 14 días. Solo suscripción.
Precio:
- Prueba gratuita de 14 días.
- Plan individual alrededor de $2,99 por mes facturado anualmente.
- Familias alrededor de $4,99 por mes para hasta cinco personas.
Plataformas: Android, iOS, escritorio, extensiones de navegador, web.
Conclusión: Vale la pena el dinero si el pulido adicional y Travel Mode importan. De lo contrario, Bitwarden cubre el mismo terreno de forma gratuita.
5. Proton Pass, mejor para alias de correo electrónico
Proton Pass hace lo que hacen otros administradores de contraseñas y luego agrega alias de correo electrónico cifrados encima. El truco para la seguridad de la cuenta de WhatsApp es que WhatsApp en sí no usa correo electrónico, pero la cuenta de Google o Apple que posee la copia de seguridad sí. Registrar esa cuenta con un alias de Proton, en lugar de su dirección real, significa que una lista de contactos filtrada o un volcado de violación nunca vincula su correo electrónico público con su identidad de WhatsApp. El nivel gratuito de Proton Pass proporciona contraseñas ilimitadas en dispositivos ilimitados, lo cual es inusual para el plan gratuito de un servicio de pago.
Dónde se queda corto: Límites de alias en el nivel gratuito (10 alias). El autofill es competente pero un paso por detrás de 1Password.
Precio:
- Gratis con contraseñas ilimitadas y 10 alias de correo electrónico.
- Plus alrededor de $4,99 por mes para alias ilimitados y bóvedas compartidas.
- Incluido con Proton Mail, VPN y Drive en el plan Unlimited.
Plataformas: Android, iOS, escritorio, extensiones de navegador.
Conclusión: La opción correcta para cualquiera que ya esté en el ecosistema de Proton o planee compartimentar cuentas detrás de alias.
6. Signal, mejor reserva si WhatsApp está comprometido
Signal importa aquí como plan B, no como reemplazo. Cuando se compromete una cuenta de WhatsApp, el atacante tiene su gráfico de contactos y sus mensajes recientes. Signal es el mensajero para mover las conversaciones sensibles al primer día de cualquier incidente. Su propio bloqueo de registro usa un PIN separado almacenado solo en su dispositivo, y su modelo de recuperación no depende de los mensajes de texto del operador de la forma en que WhatsApp históricamente lo hizo. Código abierto, auditado y dirigido por una organización sin fines de lucro que no tiene un negocio de publicidad detrás de él.
Dónde se queda corto: Requiere que las personas a las que envía mensajes también instalen Signal. La adopción fuera de los círculos enfocados en la privacidad sigue siendo desigual.
Precio:
- Gratis por siempre.
- Apoyado por donaciones.
Plataformas: Android, iOS, escritorio.
Conclusión: Instálalo ahora, verifica algunos contactos y mantenlo allí para el día en que WhatsApp se convierte en un problema.
7. Authy, mejor sincronización 2FA entre dispositivos
Authy es la respuesta cuando la bóveda estrictamente local de Aegis se interpone en el camino. Los códigos se sincronizan entre teléfono, tableta y escritorio a través de la nube de Twilio, que es la compensación: alguien más guarda copias cifradas de tus semillas. Para 2FA en cuentas que son menos sensibles que la que guarda su copia de seguridad de WhatsApp, ese compromiso a menudo vale la comodidad de no restaurar códigos manualmente cada vez que cambia de dispositivo.
Dónde se queda corto: Twilio retiró las aplicaciones de escritorio en 2024, y las brechas pasadas en la empresa matriz Twilio han planteado preguntas sobre el backend de sincronización, aunque las semillas en sí permanecían cifradas.
Precio:
- Gratis por siempre.
- Sin nivel de pago.
Plataformas: Android, iOS.
Conclusión: Elige esto sobre Aegis solo si la sincronización entre dispositivos es un requisito absoluto. De lo contrario, la bóveda solo local es más segura.
Cómo elegir
- Si nunca has tocado nada de esto: WhatsApp para la contraseña de la cuenta, Bitwarden para guardarla.
- Si quieres todo gratis y de código abierto: WhatsApp más Bitwarden más Aegis Authenticator.
- Si ya pagas por una aplicación y quieres la mejor experiencia: 1Password.
- Si quieres compartimentar identidades detrás de alias: Proton Pass.
- Si te preocupa un intercambio de SIM inminente: instala Signal ahora como respaldo y establece un PIN de bloqueo de registro separado dentro de él.
- Si estás malabareando varios dispositivos y no puedes soportar restauraciones 2FA manuales: Authy.
- Si tienes una copia de seguridad de WhatsApp en Google Drive o iCloud: protege esa cuenta en la nube con TOTP de Aegis o Authy, no SMS.
Preguntas frecuentes
¿Cuál es la nueva contraseña de cuenta de WhatsApp?
WhatsApp está reemplazando el antiguo PIN de verificación en dos pasos de 6 dígitos con una contraseña de cuenta de longitud completa. Configúralo en Configuración, luego Cuenta, luego Verificación en dos pasos. Guarda la contraseña en un administrador de contraseñas, no en una aplicación de notas.
¿Detiene una contraseña fuerte de WhatsApp el intercambio de SIM?
No el intercambio de SIM en sí, pero sí detiene la ganancia. Un atacante que transfiere tu número aún necesita la contraseña de la cuenta para completar el registro de WhatsApp en la nueva SIM. Sin él, obtienen el número pero no la cuenta.
¿Se debe proteger la copia de seguridad en la nube de WhatsApp por separado?
Sí. Las copias de seguridad de WhatsApp en Google Drive o iCloud se pueden cifrar con una contraseña separada dentro de WhatsApp mismo (Configuración, luego Chats, luego Copia de seguridad de chat, luego Copia de seguridad cifrada de extremo a extremo). Establece esa contraseña, guárdala en tu administrador de contraseñas y habilita 2FA de TOTP en la cuenta de Google o Apple que aloja la copia de seguridad.
¿Puede Google Password Manager reemplazar a Bitwarden o 1Password para esto?
Para autofill básico en Android, sí. Para almacenamiento cifrado compartido, cobertura multiplataforma en dispositivos que no sean Google y exportación clara de bóveda, un administrador de contraseñas dedicado sigue siendo la mejor opción. Google Password Manager tampoco gestiona códigos TOTP.
¿Qué pasa si WhatsApp ya está comprometido?
Reinstala WhatsApp en tu propio teléfono, revalida con tu número y establece una nueva contraseña de cuenta de inmediato. El intruso se cierra en el momento en que te registras nuevamente. Luego gira la contraseña de la cuenta de Google o Apple, revoca sesiones de dispositivos vinculados sospechosas y mueve conversaciones sensibles a Signal hasta que se entienda el incidente.
