Una investigación presentada en la conferencia internacional PETS sobre privacidad digital, celebrada en Washington, Estados Unidos, reveló que miles de aplicaciones móviles abusan del acceso a bluetooth y redes wifi para rastrear la localización en interiores de los usuarios, sin necesidad de permisos explícitos ni activación del GPS. El estudio fue dirigido por investigadores españoles de la Universidad Carlos III de Madrid y del Instituto Imdea Networks.
El trabajo documentó que el 86% de las 9,976 aplicaciones analizadas recopilan datos identificables como el nombre del usuario, la identificación del dispositivo, coordenadas GPS, redes wifi cercanas y escaneos bluetooth. Estos datos permiten construir perfiles de comportamiento muy detallados, incluso dentro de espacios cerrados como supermercados, librerías, estaciones de metro o clínicas.
“Esto lo puedes aplicar a cualquier anécdota, como la chica que fue a la clínica abortiva y luego se encontró un anuncio que la puso nerviosa”, explicó Juan Tapiador, coautor del estudio y catedrático en la Universidad Carlos III. Añadió que esta forma de rastreo puede explicar por qué muchas personas reciben publicidad ajustada a sus hábitos más íntimos sin haber otorgado permiso explícito.
El estudio no solo identifica la recolección de datos, sino que también analiza los medios técnicos utilizados para ello. Las aplicaciones incluyen kits de desarrollo de software (SDK, por sus siglas en inglés) que, además de realizar funciones esenciales para el usuario, activan procesos ocultos para recolectar datos de localización y otros parámetros. Los investigadores encontraron 52 SDKs con funciones específicas para escanear redes wifi y señales bluetooth, presentes en casi 10,000 apps que se estima han sido instaladas en más de 55,000 millones de dispositivos móviles a nivel global.
Narseo Vallina, investigador de Imdea Networks y coautor del artículo, advirtió que estos métodos no solo permiten conocer la ubicación de una persona, sino también con quién se encuentra. “Se te puede utilizar para identificar tus movimientos y con quién estás. El problema es que no solo lo sabe la app que tú autorizaste, sino otra que tiene un SDK escondido”, afirmó.
Según el análisis, estos SDKs asocian la información recopilada con el Android Advertising ID, un identificador único de cada dispositivo que puede ser usado para vincular datos de localización con otros datos personales y construir perfiles detallados. En algunos casos, esto permite a terceros enviar correos electrónicos, alertas personalizadas o almacenar la información en servidores para usos futuros.
Las implicaciones comerciales de esta práctica van más allá de la publicidad contextual. Las empresas pueden saber, por ejemplo, qué productos prefiere un consumidor en una tienda o si frecuenta determinados locales. Sin embargo, los investigadores advierten de riesgos más serios, como el rastreo de inmigrantes indocumentados, la detección de usuarios en lugares sensibles o incluso el monitoreo encubierto en contextos políticos o sociales delicados.
El estudio también señaló que estas prácticas ocurren en un ecosistema donde la transparencia es mínima. Aunque algunas apps piden permisos para acceder a redes inalámbricas, muchas otras introducen fragmentos de código ocultos que actúan sin el conocimiento del usuario. La información puede terminar en manos de compañías desconocidas de mercadeo digital que trafican con datos personales.
“La localización es el dato más valioso”, dijo Tapiador. “No es sorprendente que gran parte del esfuerzo tecnológico esté enfocado en obtenerla. Esta forma de emplear balizas no es más que la enésima derivada en cómo rastrear sin pedir permiso”.
El trabajo también detectó apps españolas con este tipo de prácticas, especialmente en categorías de estilo de vida y deportes, pero el fenómeno está ampliamente distribuido en sectores como banca, hoteles, centros académicos y medios de comunicación.
El informe plantea la necesidad de una mayor regulación y supervisión de las prácticas de recolección de datos en aplicaciones móviles. Los investigadores alertaron sobre la falta de herramientas para que los usuarios comprendan o controlen el uso real de sus datos cuando aceptan permisos genéricos.
Mientras tanto, continúan los esfuerzos por rastrear el destino final de la información capturada. “Una cosa es saber qué datos saca un SDK y otra muy distinta es cómo los procesan luego. Es un sistema oscuro”, concluyó Vallina.
