Apple parcheó en silencio la vulnerabilidad que le permitió al FBI leer mensajes “borrados” de Signal en un iPhone

La privacidad del iPhone recibió un golpe que muy pocos esperaban. El FBI logró recuperar mensajes eliminados de Signal en un dispositivo Apple, y no fue hackeando el cifrado ni pidiendo acceso a los servidores de la aplicación. La puerta de entrada estuvo justo donde nadie miraba: en el historial de notificaciones de iOS. Lo más llamativo es que Apple ya lanzó un parche para cerrar esa brecha, aunque sin decirlo abiertamente.

FBI aprovechó una vulnerabilidad desconocida para hackear un iPhone

Todo salió a la luz durante un juicio en Estados Unidos en abril de 2026. El agente especial del FBI Clark Wiethorn testificó cómo los investigadores recuperaron mensajes de Signal de uno de los acusados, incluso después de que la aplicación había sido borrada del teléfono y los mensajes tenían configurada la autodestrucción.

La clave del asunto es que el FBI no necesitó romper el cifrado de Signal ni pedir nada a la empresa. En cambio, accedió a la base de datos interna de notificaciones push de iOS, un archivo que el propio sistema operativo de Apple mantiene de forma completamente separada al contenedor de las aplicaciones. Dicho de otra forma: Signal borraba los mensajes, pero iOS los seguía guardando en su propio almacenamiento de notificaciones.

El caso concreto involucra a un acusado por vandalizar instalaciones del centro de detención ICE, disparar a un agente policial y lanzar fuegos artificiales, según reportó 404 Media. El teléfono había sido entregado, la app estaba desinstalada y los mensajes seguían siendo accesibles. Una situación que, seamos honestos, no debería ser posible en uno de los teléfonos más seguros del mundo.

Así funcionaba la vulnerabilidad paso a paso

Para entender por qué este fallo es tan relevante, hay que saber cómo maneja iOS las notificaciones push. Cuando alguien te envía un mensaje en Signal, el sistema operativo tiene que descifrarlo localmente para poder mostrarte la vista previa en la pantalla de bloqueo, ese texto que dice “Juan: Nos vemos a las 8”.

Aquí está el problema: ese contenido descifrado —el nombre del contacto y el fragmento del texto— queda almacenado en una caché interna del sistema operativo. Esa caché existe fuera del control de la aplicación. Signal puede borrar sus propios datos hasta el último byte, pero la caché de iOS sigue intacta.

Los puntos clave de cómo funcionaba esta vulnerabilidad son los siguientes:

• El sistema almacenaba el contenido completo del mensaje en la base de datos de notificaciones, siempre que las vistas previas estuvieran activadas
• Solo afectaba a mensajes recibidos, no a los enviados, porque las notificaciones push solo se generan en el dispositivo del receptor
• El FBI habría usado herramientas forenses comerciales para extraer los datos de esa base de datos interna, según especulan expertos en ciberseguridad
• La app podía estar completamente desinstalada y los mensajes seguían accesibles en esa caché del sistema
• No era un bug explotable remotamente, sino un comportamiento inherente a cómo iOS gestiona las notificaciones, lo que lo hace aún más interesante desde el punto de vista forense

Signal, por su parte, siempre ofreció una opción para evitar esto: en los ajustes de la app, existe la configuración “Sin nombre, sin vista previa” que instruye al sistema operativo a no almacenar el contenido real de los mensajes en esa caché. El problema es que la mayoría de usuarios nunca activan esa opción.

El parche de Apple y lo que debes hacer ahora

Apple respondió sin decir nada. En iOS 26.4, la compañía modificó sutilmente la forma en que el sistema valida los tokens de notificaciones push. Los expertos interpretan ese ajuste como una respuesta directa a este caso, aunque Apple no emitió ningún comunicado oficial explicando exactamente qué cambió ni por qué. Signal tampoco hizo declaraciones formales.

Este silencio institucional contrasta con la gravedad del asunto. Millones de personas en todo el mundo usan Signal precisamente porque confían en su privacidad, y ahora descubren que iOS tenía una trampa involuntaria que podía exponer sus conversaciones ante una extracción forense.

Si usas Signal u otras apps de mensajería cifrada en iPhone, estos son los pasos que debes tomar hoy mismo:

1. Actualiza a iOS 26.4 o superior para asegurarte de que el parche esté aplicado en tu dispositivo
2. Desactiva las vistas previas en las notificaciones de Signal: ve a Ajustes > Notificaciones > Signal y selecciona “Ocultar contenido”
3. Dentro de la propia app de Signal, activa la opción “Sin nombre, sin vista previa” en la configuración de notificaciones
4. Activa mensajes efímeros en tus conversaciones más sensibles como capa adicional de protección

Lo que este caso deja en claro es que la seguridad de una app no depende solo del cifrado de sus mensajes, sino también de cómo interactúa con el sistema operativo. El eslabón más débil no estaba en Signal, sino en iOS. Y durante un tiempo que nadie sabe exactamente cuánto duró, esa ventana estuvo abierta.

Sigue leyendo:
• ¿Aún no actualizaste a iOS 26.2? Conoce todas las mejoras que recibirá tu iPhone
• Apple lanzó una actualización sorpresa de iOS 18 que debes instalar ahora mismo
• Alerta de Google: el fallo crítico de seguridad que expone a los iPhone más antiguos