El ratchet, el bloqueo del dispositivo y la revocación de sesiones son cosas distintas; ningún mensaje nuevo sustituye cortar el acceso del ladrón.
Si te roban el teléfono desbloqueado, lo prudente es suponer que la información accesible en él podría verse o copiarse. Enviar un mensaje desde otro dispositivo no garantiza, por sí solo, que se invalide la sesión del ladrón ni que se corte su acceso a mensajes futuros.
Bloquear el dispositivo, gestionar las sesiones de la cuenta y recuperar la seguridad criptográfica son tres tareas diferentes. Ante un incidente real hay que examinar las tres; ningún ratchet sustituye bloquear o revocar el acceso del dispositivo perdido.
¿Qué hacer primero?
Actúa desde un dispositivo de confianza y no te enfrentes al ladrón para recuperar el teléfono. Si hay un peligro inmediato, tu seguridad es lo primero.
- Usa la herramienta oficial del fabricante para localizar y bloquear el dispositivo. En Android, Find Hub ofrece herramientas de bloqueo y borrado; la ejecución de las órdenes depende del estado y la conexión del dispositivo.
- Revisa las sesiones y los dispositivos conectados a cuentas importantes y revoca el acceso del dispositivo robado por la vía oficial, si el servicio ofrece esa opción.
- Revisa también tu cuenta de correo y los métodos de recuperación. El atacante podría utilizar ese mismo teléfono para recuperar otras cuentas.
- Si la tarjeta SIM está en riesgo, contacta con tu operador para bloquearla o transferir la línea de forma segura. Esto no sustituye revocar las sesiones de las aplicaciones.
- Avisa a los contactos sensibles por un canal de confianza para que, de momento, verifiquen los mensajes inesperados de tu cuenta.
El borrado remoto puede ser irreversible y cambiar las posibilidades de rastreo. Antes de elegirlo, ten en cuenta las indicaciones oficiales y la posible necesidad de conservar pruebas. No confundas una orden registrada o enviada con su ejecución confirmada en el dispositivo.
¿A qué tiene acceso exactamente el ladrón?
| Nivel de acceso | Posible riesgo | Medida correspondiente |
|---|---|---|
| Teléfono desbloqueado y aplicación accesible | Leer o enviar mensajes desde la cuenta | Bloquear el dispositivo y limitar el acceso a la cuenta |
| Sesión válida de la aplicación | Mantener la actividad hasta su caducidad o revocación | Revocar la sesión por la vía oficial del servicio |
| Clave o estado criptográfico copiados | Riesgo para parte de las comunicaciones, según el tipo de datos | Revisar la identidad y las sesiones criptográficas y verificar de nuevo a los contactos |
| Malware o acceso persistente | Recopilación continua de datos nuevos | Recuperar la seguridad del dispositivo y la cuenta; cambiar solo la contraseña no basta |
El robo del teléfono no implica necesariamente que se extraigan de inmediato todas las claves; pero la ausencia de pruebas de extracción tampoco permite considerar inofensivo un teléfono desbloqueado.
¿Qué significa seguridad poscompromiso?
La seguridad poscompromiso, o PCS, busca recuperar la protección de mensajes futuros tras la exposición de parte del estado criptográfico, cuando se cumplen las condiciones necesarias; por ejemplo, que se incorporen datos nuevos que el atacante no tenga y que su acceso no continúe.
La especificación Double Ratchet distingue entre recuperarse frente a un espía y el peligro de que un dispositivo o unas claves sigan bajo control del atacante. Esta propiedad no elimina malware, no invalida un token de sesión ni recupera mensajes ya leídos.
Cambiar la clave con cada mensaje tampoco basta por sí solo. Si el atacante tiene el estado necesario para calcular la siguiente clave o sigue accediendo al teléfono, el «siguiente mensaje» no marca necesariamente la recuperación.
¿Qué hay que comprobar sobre Livara?
El modelo de amenazas de Livara no ofrece garantías frente al acceso a un teléfono desbloqueado o infectado. La documentación de seguridad también separa la recuperación de la identidad del historial de chat. Este artículo no aporta pruebas para afirmar que «iniciar sesión en un teléfono nuevo desactiva automáticamente la sesión anterior».
Si usas Livara, comprueba los controles reales de sesiones y recuperación de la versión instalada y confirma el resultado de revocar el acceso. No supongas que cambiar la contraseña o recuperar una clave elimina todas las sesiones anteriores. Tras cambiar la identidad criptográfica, los contactos sensibles deben verificar la nueva clave por una vía independiente.
¿Qué preparar antes de un incidente?
Son útiles un bloqueo robusto y un bloqueo automático adecuado, las actualizaciones del sistema, ocultar las vistas previas sensibles y acceder de forma segura a los métodos de recuperación. Las herramientas de protección antirrobo de Android varían según el dispositivo y la versión; comprueba que estén disponibles en tu propio teléfono.
Prepara un plan breve: ¿desde qué dispositivo alternativo iniciarás sesión, cómo cerrarás las sesiones y dónde encontrarás la clave de recuperación sin depender del teléfono perdido?
Principio importante: Recuperar la seguridad es un proceso. No lo des por terminado por enviar un mensaje, cambiar una clave o ver una advertencia.
