Después de conocer Pegasus, yo no haría nada por teléfono. Limítate a utilizar correos electrónicos alojados como servicio oculto y encripta todo en el lado del servidor.
Si la persona con la que te relacionas no puede hacer eso ni quiere aprender a mejorar su OPSEC, puede irse a tomar por culo. Tengo que preguntar, ¿por qué necesitamos java habilitado sólo para publicar?
Puedo ver la desactivación de algunas características de seguridad para ver vídeos, descargar cosas, etc. Pero no puedo entender por qué no dar a los usuarios la posibilidad de publicar con java desactivado, ya que se ha demostrado en el pasado que es un defecto que a las fuerzas del orden les encanta explotar.