Imagina que le das la llave de tu casa a un técnico para que te arregle la caldera. Ahora imagina que esa persona le pasa una copia de la llave a otras cinco, y esas a otras cien. Algo parecido está pasando con la ubicación de muchos móviles Android: permites que una aplicación sepa dónde estás y, sin que tú lo sepas, esa información se comparte con empresas de publicidad y de datos.
Lo ha destapado la Electronic Frontier Foundation (EFF), una organización que defiende los derechos digitales, en una investigación publicada a principios de agosto y difundida por TechCrunch, uno de los medios de tecnología más leídos del mundo.
Qué ha pasado
La EFF ha analizado las piezas de código que muchas aplicaciones usan para mostrar anuncios. Ha identificado cuatro herramientas de publicidad que comparten tu ubicación exacta con terceros sin avisar: BidMachine, InMobi, HyBid (de la empresa Verve) y Petal Ads (de Huawei).
Estas herramientas no son cosas raras. Se usan en decenas de miles de aplicaciones y, según la propia EFF, llegan a miles de millones de usuarios en todo el mundo. Dos de las aplicaciones analizadas, un lector de códigos QR y un velocímetro de coche, se han descargado más de 60 millones de veces en total. Y ninguna avisaba de que compartía la ubicación de sus usuarios.
Por qué pasa esto
Para entenderlo hay que saber qué es un «SDK». Un SDK es como una pieza de código ya hecha que los programadores meten dentro de su aplicación para no tener que escribirla desde cero. Muchas aplicaciones gratuitas incluyen un SDK de publicidad para ganar dinero. Es lo que permite que la aplicación no te cueste nada.
El problema es el siguiente: cuando das permiso de ubicación a una aplicación (por ejemplo, a una de mapas), Android le da ese permiso a toda la aplicación completa, incluidas las piezas de publicidad que lleva dentro. Es como si el portero del edificio tuviera las llaves de todas las viviendas: en teoría solo debería abrir las que le corresponden, pero técnicamente puede abrirlas todas.
Los creadores de las aplicaciones tendrían que desactivar esa transmisión de ubicación a mano. Pero muchos no lo hacen. Siguen las instrucciones básicas, la aplicación funciona y nadie revisa qué datos salen de ella. La propia documentación de InMobi recomienda mantener el seguimiento activado, porque los anunciantes pagan más cuando saben dónde estás.
Dónde acaba tu ubicación
Y aquí está la parte más delicada. La ubicación que envía el móvil puede ser tan precisa que señala tu propia casa: hasta 50 metros de margen, a veces solo 10. Cuando una aplicación manda esa información a las subastas de publicidad (donde las empresas pujan en tiempo real por mostrar un anuncio), puede llegar a miles de anunciantes a la vez.
Entre esos compradores hay «brokers de datos», empresas que se dedican a comprar información personal y revenderla. La EFF recuerda que estas empresas han vendido datos de ubicación a gobiernos, ejércitos y agencias de inteligencia. El FBI, la policía federal de Estados Unidos, es un comprador conocido de este tipo de datos.
Qué puedes hacer
La EFF pide a los desarrolladores que desactiven la ubicación en las herramientas de publicidad y que cambien el sistema: que el envío de ubicación sea algo que se elige activamente, no algo que viene activado sin preguntar. Google, por su parte, obliga a las aplicaciones a declarar qué datos comparten, pero no audita cada pieza de código que llevan dentro.
Mientras tanto, como usuario puedes hacer algo sencillo: revisa qué aplicaciones tienen permiso para saber dónde estás. En Android se hace en Ajustes, luego Privacidad y después Permisos de ubicación. Revoca el permiso a las aplicaciones que no necesiten tu posición para funcionar. Una aplicación de mapas sí la necesita; una linterna o un juego, no. Si una aplicación deja de funcionar al quitarle el permiso, es que de verdad lo usaba.
No es un truco de hackers ni un fallo puntual. Es una práctica normal de la industria publicitaria, y ocurre en silencio, cada día, en millones de móviles. Saberlo es el primer paso para decidir qué datos quieres compartir y cuáles no.
