El 13 de nov. se emitió una advertencia urgente tras descubrirse una supuesta vulnerabilidad de Telegram en Android que podía poner en grave riesgo otras aplicaciones de un dispositivo comprometido.
La advertencia llegó después de que la empresa de seguridad V12 mostrara cómo un mensaje de un bot abría por sí solo la aplicación Calculadora de un teléfono. Esa es la prueba clásica de la ejecución remota de código (RCE): alguien ajeno hace que tu dispositivo ejecute comandos que no debería.
¿Qué pasó realmente?
1. El 9 de nov.: Telegram lanza los widgets
Telegram permitió que los bots enviaran «widgets»: pequeñas aplicaciones dentro de un mensaje de chat. Piensa en juegos, encuestas, miniaplicaciones y pagos en Gram $TON a través de la billetera de autocustodia de Telegram.
2. El 11 de nov.: la demostración que sorprendió a todos
V12 publicó un video en el que un mensaje de un bot abría por sí solo la app Calculadora de Android. V12 no ha publicado cómo funciona el ataque y ninguna entidad independiente lo ha confirmado todavía.
Los informes apuntan a un error de memoria en el motor de widgets de Telegram: una función de JavaScript malformada podría corromper la memoria y permitir que un widget saliera de su entorno aislado.
3. Del 11 al 13 de nov.: Telegram dice que ya está solucionado
Telegram dijo que el problema de Telegram para Android se había solucionado y que la actualización ya se había distribuido a todos los usuarios. La solución llegó con Telegram para Android 13.2.2, que trasladó el código de los widgets a un proceso aislado independiente.
Pero una solución solo te protege si la instalas. Por eso la advertencia era urgente.
¿Cómo afecta esto a tu seguridad?
La mayoría piensa: «Solo es Telegram; mi dinero está en mi exchange».
No funciona así.
1. Dispositivo comprometido = apps comprometidas
Cuando un atacante puede ejecutar código en tu teléfono, ya no está limitado a Telegram. En teoría, podría intentar:
- Leer los tokens de sesión que te mantienen conectado a las apps. La 2FA NO protege una sesión que ya está abierta
- Acceder a archivos, fotos y al portapapeles, donde muchas personas todavía guardan frases semilla
- Robar datos de otras apps del mismo dispositivo
2. Los usuarios de criptomonedas son el blanco perfecto
El mundo cripto está en Telegram: grupos de trading, bots de airdrops, vendedores P2P y bots de «soporte». Los atacantes saben que los usuarios de criptomonedas pulsarán Iniciar en un bot. En la demostración de V12, el usuario tuvo que pulsar Iniciar en un chat con un bot; entonces se ejecutó el código.
Y como la billetera de Telegram es de autocustodia, una transferencia no se puede revertir.
3. Este es el segundo susto de seguridad de Telegram en Android en un mes
El 29 de oct., la empresa NebuSec reveló una vulnerabilidad de corrupción de memoria en las llamadas de voz y video de Telegram. La víctima solo tenía que contestar una llamada. Telegram dijo que ya la había corregido en la versión 12.10.4.
Dos funciones distintas, la misma lección: las funciones nuevas implican nuevas superficies de ataque.
La controversia
El 13 de nov., el fundador de Telegram, Pavel Durov, dijo que la vulnerabilidad «no existe» tal como se había descrito y retó a los hackers a atacar su propia cuenta. Sostuvo que recibir un mensaje por sí solo no bastaba.
Contexto importante:
- No se ha asignado ningún CVE
- No se han confirmado ataques en circulación
- V12 no ha publicado pruebas técnicas completas
Así que se ha informado sobre el problema o se ha demostrado, pero todavía no se ha probado que haya sido explotado en el mundo real. Eso no significa que debas ignorarlo.
Qué debes hacer AHORA: 5 pasos
1. Actualiza Telegram para Android a la versión 13.2.2 o posterior desde Google Play. No instales APK de fuentes externas.
2. No inicies bots desconocidos. Sobre todo, bots que prometan airdrops, criptomonedas gratis o que te pidan «verificar tu billetera».
3. No abras chats con muchos widgets hasta que hayas actualizado.
4. Saca las frases semilla de tu teléfono. No hagas capturas de pantalla ni las guardes en la app Notas o en Mensajes guardados de Telegram.
5. Revisa tus sesiones: Telegram > Ajustes > Dispositivos; cierra las sesiones desconocidas. Haz lo mismo en las apps de tus exchanges.
En resumen
En el mundo cripto, tu teléfono ES tu banco.
Y cuando tu banco, tu billetera, tu app de 2FA y tu app de chat están en un mismo dispositivo, una vulnerabilidad en una app puede convertirse en una vulnerabilidad en todas.
Actualiza ahora. No pulses Iniciar en bots en los que no confíes. Y nunca consideres Telegram un lugar seguro para guardar tus claves.
La seguridad es lo primero, facilísimo. Mantente SAFU.
Dale a Me gusta, comparte y sígueme para ver más.