Redes móviles on Arpokrat

La 2FA por SMS ya no protege nada: qué usar en su lugar

Tue, 08 Sep 2026 00:00:00 +0000

El 9 de enero de 2024, la cuenta oficial de X de la Securities and Exchange Commission, el regulador de los mercados financieros estadounidenses, anunció la aprobación de los ETF de Bitcoin, una decisión que el mercado esperaba desde hacía meses. En cuestión de minutos, el Bitcoin subió más de 1.000 dólares por unidad. Después la SEC lo desmintió: la cuenta había sido pirateada. La cotización cayó más de 2.000 dólares.

Lo instructivo del caso no es la magnitud del movimiento del mercado, sino lo banal del método. Según el comunicado del Departamento de Justicia estadounidense, Eric Council Jr., de 26 años, imprimió un documento de identidad falso con una impresora de tarjetas portátil, se presentó en una tienda de AT&T y convenció a un empleado para que transfiriera el número de teléfono asociado a la cuenta a una tarjeta SIM que él controlaba. Recibió por SMS los códigos de restablecimiento de la contraseña y se los pasó a sus cómplices. El 16 de mayo de 2025 fue condenado a 14 meses de prisión.

Conviene una precisión que cambia la lectura del caso sin debilitar su lección. Según la declaración oficial de la SEC, la autenticación multifactor había sido desactivada en esa cuenta en julio de 2023, a petición del propio equipo. El SMS no era, por tanto, el segundo factor en el momento de los hechos, era el canal de recuperación. Y eso es justamente lo que hace útil el ejemplo: segundo factor o puerta de emergencia, el número de teléfono sigue siendo el punto por donde cede la cadena.

Qué se supone que garantiza un segundo factor

El principio cabe en una frase. Una contraseña sola es algo que usted sabe; a eso se añade algo que usted posee (un teléfono, una llave física) o algo que usted es (una huella). Quien roba su contraseña de una filtración no dispone por ello de su objeto físico.

El razonamiento descansa sobre una hipótesis que rara vez se enuncia: que el segundo factor esté realmente ligado a un objeto en su poder y que presentarlo demuestre algo sobre el lugar donde usted se está conectando. El SMS falla en ambos puntos.

El SMS no es un factor de posesión

Recibir un código por SMS no demuestra que usted tenga un dispositivo, sino que un número de teléfono, asignado por un operador y modificable por él, apunta a un terminal. No es lo mismo. Tres vectores explotan esa brecha, y no se corrigen de la misma manera.

El SIM swapping

Es el ataque del caso SEC, y no se apoya en ningún fallo técnico. El atacante recopila datos personales de su objetivo, a menudo ya disponibles en filtraciones públicas, y luego contacta con el operador haciéndose pasar por él: teléfono perdido, traslado del número a una nueva SIM. Si resulta convincente, o si un empleado está compinchado, el número cambia de manos y todos los SMS llegan a él. El informe anual 2024 del IC3, el centro de denuncias del FBI, registra solo ese año 982 denuncias por SIM swapping y cerca de 26 millones de dólares en pérdidas declaradas, y contabiliza únicamente a las víctimas que denunciaron. Ninguna actualización de software corrige este vector: no ataca un programa, ataca un proceso comercial humano.

La interceptación por SS7

Signaling System 7 es el protocolo que permite que las redes telefónicas del mundo entero se comuniquen entre sí: encaminar una llamada, gestionar la itinerancia, entregar un SMS de un operador a otro. Fue diseñado en 1975, cuando el club de los operadores era cerrado, reducido, y cada uno consideraba a los demás dignos de confianza por construcción. No incluye, por tanto, ninguna autenticación nativa entre redes: una petición que parece legítima se trata como legítima.

No es una debilidad teórica. En diciembre de 2014, los investigadores alemanes Tobias Engel y Karsten Nohl lo demostraron en público en el Chaos Communication Congress: localizar a un abonado e interceptar sus SMS a partir únicamente del número de teléfono. En 2017 se confirmó la explotación real: el operador alemán O2-Telefónica reconoció que a varios clientes les habían vaciado sus cuentas bancarias, después de que los atacantes obtuvieran acceso a la red de un operador extranjero y establecieran un desvío de SMS para capturar los códigos de confirmación bancaria.

El phishing en tiempo real

El tercer vector es el más importante, porque no depende de ningún fallo de telecomunicaciones y sobrevive a todo lo que se corrigiera en los dos anteriores.

Un sitio falso imita a la perfección la página de acceso de un servicio. Usted introduce ahí su usuario y su contraseña, que el sitio falso retransmite de inmediato al verdadero, el cual envía un SMS a su teléfono. El SMS le llega efectivamente, y es auténtico. Usted teclea el código en el sitio falso, que a su vez lo retransmite en segundos. La sesión se abre, y quien la tiene es el atacante.

A esto se le llama un ataque adversary-in-the-middle. Está industrializado: herramientas como Evilginx, un proxy inverso aparecido en 2017, o kits vendidos por suscripción mensual, lo ponen al alcance de cualquiera sin conocimientos particulares. Además, lo que se roba no es solo el código, es la cookie de sesión, que después permite seguir conectado sin volver a pasar por ninguna autenticación.

La cuestión es arquitectónica. El código enviado por SMS no contiene información alguna sobre el sitio que lo solicitó. No puede, por tanto, distinguir lo verdadero de lo falso: es válido allí donde se teclee.

Ya no es una opinión, es una posición oficial

El argumento más sólido contra el SMS no viene de los fabricantes de soluciones, sino de las instituciones que escriben los estándares.

En julio de 2025, el NIST estadounidense publicó la versión final de la SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management. El texto crea una categoría explícita de autenticadores restringidos, reservada a los mecanismos cuya capacidad de resistencia se ha degradado con la evolución de las amenazas. La sección 3.1.3.3 sitúa ahí el uso de la red telefónica conmutada, es decir, los códigos enviados por SMS o por llamada de voz: «Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.» En la práctica, un servicio que siga recurriendo a ello debe ofrecer una alternativa no restringida, informar del riesgo a sus usuarios y disponer de un plan de migración.

En diciembre de 2024, la CISA, la agencia estadounidense de ciberseguridad, había publicado su Mobile Communications Best Practice Guidance, tras la campaña de espionaje Salt Typhoon, en la que actores vinculados al Estado chino penetraron en varios operadores de telecomunicaciones estadounidenses. La formulación no deja margen a la interpretación: «Do not use SMS as a second factor for authentication. SMS messages are not encrypted», y más adelante, sin rodeos: «Only FIDO authentication is phishing-resistant.» El documento recomienda explícitamente las llaves físicas FIDO, citando a Yubico y Google Titan, y precisa que, una vez activado FIDO, hay que desactivar el SMS, ya que de lo contrario subsiste como mecanismo de repliegue explotable.

Las aplicaciones de autenticación: un progreso real, una solución parcial

Las aplicaciones TOTP, de Time-based One-Time Password, generan un código de seis dígitos que cambia cada treinta segundos, calculado localmente a partir de un secreto compartido durante la activación y de la hora actual. Nada circula por la red telefónica.

La ganancia es inmediata: el SIM swapping deja de tener efecto, puesto que el número ya no interviene, y la interceptación por SS7 también, puesto que no se transporta ningún mensaje. Migrar a una aplicación de autenticación merece la pena en toda cuenta que no pueda ir más lejos.

Pero el tercer vector permanece intacto. Un código TOTP tecleado en un sitio falso se retransmite al sitio verdadero exactamente igual que un código SMS. La aplicación ignora dónde se está conectando usted: muestra un número, y ese número es válido para cualquiera que lo presente dentro de su ventana de treinta segundos. La CISA lo dice en los mismos términos: los códigos de autenticación son mejores que el SMS, pero siguen siendo vulnerables al phishing.

El TOTP es una etapa intermedia honesta, no un destino.

Por qué una llave FIDO2 cambia la naturaleza del problema

Una llave física FIDO2/WebAuthn no se limita a hacer el ataque más difícil, le suprime la posibilidad mecánica.

Al registrarse en un servicio, la llave genera un par de claves criptográficas dedicado a ese servicio. La parte pública va al servicio, la parte privada nunca sale del chip y no es exportable ni legible. Ningún secreto compartido susceptible de ser copiado, ningún código de seis dígitos que interceptar.

Viene después el mecanismo decisivo, la vinculación al origen. En el momento de la conexión, el navegador transmite a la llave el nombre de dominio real de la página mostrada. Esa información se incluye en los datos firmados, y el navegador la impone: el JavaScript de la página no puede modificarla ni falsificarla.

Una llave FIDO2 no hace que el phishing sea más difícil de lograr. Hace que el resultado del phishing sea inservible.

Retomemos el ataque adversary-in-the-middle, esta vez con una llave. El sitio falso es perfecto, la víctima no detecta nada y toca su llave. El navegador transmite el dominio real de la página, el del sitio fraudulento. La llave constata que no existe ningún par para ese dominio, o firma para él, produciendo una firma que el servicio verdadero rechazará. En ambos casos, el atacante no obtiene nada aprovechable.

Ahí está la diferencia de naturaleza. Con el SMS o el TOTP, la seguridad reposa en última instancia sobre la vigilancia del usuario, sobre su capacidad de detectar un dominio falsificado en una barra de direcciones, en un momento en que va con prisa y la página parece normal. Con FIDO2, esa verificación la hace una máquina, sistemáticamente, sin depender de la atención de nadie. Es esa transferencia de responsabilidad lo que cuenta, más que la robustez criptográfica.

El efecto se mide. Google impuso las llaves a sus empleados a principios de 2017 y declaró en 2018 no haber registrado ninguna cuenta comprometida entre más de 85.000 personas.

Los límites reales de las llaves físicas

Presentarlas como perfectas sería deshonesto, e inútil para preparar las decisiones que de verdad importan.

El coste existe. Cuente entre 25 y 60 euros según el modelo, más en las versiones biométricas, y multiplíquelo por dos.

Perder una llave es el verdadero riesgo. Una sola llave en una cuenta crítica es un error de diseño. Hacen falta dos registradas en cada cuenta importante, una de ellas guardada en otro sitio, en casa de un allegado o en una caja fuerte. La segunda no es una comodidad, es lo que hace utilizable la primera sin temor.

La cobertura es incompleta. Muchos servicios, en particular los bancarios en Europa, todavía no admiten FIDO2, de ahí la priorización que sigue.

Una llave puede ser robada. De ahí la necesidad de activar un PIN en la llave, o de elegir un modelo con huella: sin eso, el objeto por sí solo basta a quien lo recoja.

El repliegue sigue siendo el eslabón débil. Activar FIDO2 sin desactivar el SMS no protege de nada: el atacante toma sencillamente la vía que ha quedado abierta. La migración solo termina cuando el mecanismo antiguo se elimina de la cuenta, opciones de recuperación incluidas.

En cuanto al material, la gama YubiKey cubre el espectro de protocolos más amplio, las Google Titan son más baratas y se limitan a FIDO, Nitrokey y SoloKeys ofrecen alternativas con firmware abierto y auditable, y Token2 fabrica modelos con teclado numérico integrado, donde el PIN se introduce en la propia llave y no en el teclado del ordenador. No hay mala elección entre las llaves certificadas FIDO2: el protocolo es el mismo y solo difieren los usos accesorios.

Por dónde empezar cuando no se puede cambiar todo

El orden de migración no es cuestión de preferencia, se deriva de las dependencias entre sus cuentas.

El correo principal primero. Recibe los enlaces de restablecimiento de casi todo lo demás. Un atacante que lo controle recupera las demás cuentas una a una, sin atacar ninguna directamente. Nada merece asegurarse antes que él.
El gestor de contraseñas. Concentra el primer factor de todos sus accesos, así que su protección debe equivaler a la de la cuenta mejor protegida que contiene. Es el momento de comprobar la calidad de la contraseña maestra, tema que detallamos en nuestro artículo sobre la entropía y la ciencia detrás de su seguridad.
Las cuentas financieras y las plataformas cripto. Objetivos de valor inmediato, donde un compromiso se convierte en pérdida irreversible en cuestión de minutos.
Las redes sociales con audiencia. El caso SEC ilustra lo que vale la palabra de una cuenta seguida, y el daño no siempre recae sobre su propietario.
El resto puede esperar, con una aplicación TOTP en sustitución del SMS. Un foro o un servicio de streaming no justifica el mismo esfuerzo.

Para las cuentas que todavía no admiten FIDO2: pasar a TOTP siempre que sea posible, y pedir a su operador el bloqueo de la portabilidad de su número, una opción gratuita en la mayoría.

Qué dice esto del enfoque de Arpokrat

Este informe describe un problema que solo existe porque se colocó un identificador en el centro del sistema. El número de teléfono nunca fue concebido como prueba de identidad: se convirtió en la columna vertebral de la autenticación en línea por costumbre, y los tres ataques descritos más arriba explotan todos ese desvío de uso.

Es el razonamiento que presidió el diseño del protocolo de Arpokrat Messenger: ni número de teléfono, ni dirección de correo, ni cuenta. El usuario existe como un conjunto de claves criptográficas conservadas en su propio dispositivo, y la puesta en contacto se hace mediante enlaces de invitación de un solo uso. La lógica es la de FIDO2, un escalón más arriba: lo que un tercero no posee no se le puede arrancar, ni por ingeniería social contra un operador ni por requerimiento judicial. Esta coherencia con la arquitectura Zero-Knowledge se desarrolla en nuestro artículo sobre recolectar ahora, descifrar después.

Una llave física que firma sin exponer jamás su secreto es, por lo demás, también el funcionamiento de una cartera cripto fuera de línea, detallada en nuestra guía completa del cold wallet: guardar la parte secreta en un objeto dedicado y no dejar salir más que una firma.

Conclusión

La 2FA por SMS no fue mal concebida. Cuando se generalizó, a principios de la década de 2010, representaba un progreso considerable respecto a la contraseña sola, y tenía a su favor la única cualidad que cuenta a gran escala: todo el mundo ya tenía un teléfono.

El problema no es su invención, es su supervivencia. Las demostraciones sobre SS7 datan de 2014, la explotación bancaria real de 2017, la industrialización del phishing en tiempo real de finales de esa década. La CISA escribió que dejara de usarse en 2024, el NIST formalizó la restricción en 2025. Una decena de años separan el momento en que los fallos pasaron a ser explotables a gran escala de aquel en que las instituciones lo pusieron por escrito. Y el SMS sigue siendo el segundo factor por defecto en la mayoría de los servicios para el gran público.

Ese desfase es la verdadera información de este informe. Los mecanismos de seguridad no desaparecen cuando dejan de funcionar, sino cuando algo igual de sencillo viene a sustituirlos, y eso tarda mucho más. La pregunta no es, por tanto, si debería abandonar el SMS, cosa zanjada desde hace años. Es cuáles de las demás protecciones que da por sentadas se encuentran ya, sin que nadie lo haya escrito todavía, en la misma situación.

Fuentes

Departamento de Justicia de Estados Unidos, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 de mayo de 2025
Securities and Exchange Commission, SECGov X Account, declaración oficial del 22 de enero de 2024
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, versión final de julio de 2025
CISA, Mobile Communications Best Practice Guidance, 18 de diciembre de 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, demostración de Tobias Engel y Karsten Nohl, diciembre de 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, mayo de 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, julio de 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, especificación WebAuthn

El 5G, la localización y el error de objetivo del derecho

Tue, 18 Aug 2026 00:00:00 +0000

En 2011, la policía de Detroit pidió a un operador móvil el historial de conexión a antenas del teléfono de Timothy Carpenter. Obtuvo 12 898 puntos de localización repartidos a lo largo de 127 días, alrededor de cien al día. Siete años después, el Tribunal Supremo de los Estados Unidos declaró que esa solicitud constituía un registro y exigía una orden judicial.

Esos 12 898 puntos procedían de antenas de cuarta generación, cada una de las cuales cubría un radio de varios kilómetros. La misma petición, dirigida hoy a una red 5G urbana, no devolvería cien puntos al día con un margen de varios kilómetros. Devolvería un volumen muy superior, con un margen de unas decenas de metros.

La tecnología ha cambiado de escala. El razonamiento jurídico, en cambio, sigue en el mismo punto de la cadena.

Un bien jurídico que los jueces reconocen a ambos lados del Atlántico

Existe un interés que casi todo el mundo admite y que casi ningún texto protege de forma eficaz: el derecho a estar en algún sitio sin que ese hecho quede registrado.

La jurisprudencia europea lo estableció sin ambigüedad. En Digital Rights Ireland (asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014), y después en Tele2 Sverige y Watson (asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016), el Tribunal de Justicia de la Unión Europea declaró que esos datos, considerados en su conjunto, permiten extraer conclusiones muy precisas sobre la vida privada de las personas: hábitos cotidianos, lugares de residencia, desplazamientos, actividades realizadas y relaciones sociales.

El Tribunal Supremo de los Estados Unidos llegó a una conclusión cercana en Carpenter v. United States, 585 U.S. 296 (2018). Insistió en un punto que la doctrina estadounidense ha comentado mucho: el carácter inevitable y automático de esa recogida. Nadie consiente en quedar conectado a una antena: lo está porque tiene un teléfono encendido.

El bien jurídico existe, pues, y lo reconocen los dos tribunales que cuentan en la materia. El problema está en otra parte.

Lo que el 5G cambió realmente

Una confusión frecuente consiste en tratar la localización como un dato que el teléfono transmite, igual que un mensaje o una foto. No es así. La localización es una consecuencia física del funcionamiento de la red. El operador sabe a qué antena está conectado el aparato porque necesita saberlo para encaminar una llamada. No existe ninguna clave que permita cifrar esa información, puesto que no es un contenido sino una propiedad de la propia conexión.

Eso es precisamente lo que hace que el 5G sea relevante en el plano jurídico, y no en el técnico.

Las arquitecturas anteriores se basaban en celdas amplias. Una antena 4G suele cubrir un radio de varios kilómetros, y la posición deducida de la mera conexión se contaba en centenares de metros en ciudad y a veces en decenas de kilómetros en zona rural. El 5G se apoya en una densificación masiva: las celdas urbanas cubren normalmente unos cientos de metros, y la literatura de ingeniería maneja densidades del orden de cuarenta a cincuenta estaciones base por kilómetro cuadrado, frente a cuatro o cinco en la época del 3G.

La consecuencia es mecánica. Según el informe técnico de Ericsson sobre el posicionamiento 5G, la infraestructura desplegada solo para la conectividad alcanza una precisión de veinte a cincuenta metros en exteriores y de uno a tres metros en interiores, y baja del metro en condiciones urbanas favorables. No se trata de una función de localización activada en algún sitio, sino de lo que la red sabe por construcción, sin que haya ninguna aplicación instalada ni ningún permiso concedido. Hemos detallado todos estos mecanismos, así como las contramedidas que funcionan de verdad, en nuestro artículo sobre la geolocalización permanente del teléfono.

La intrusión ha aumentado, por tanto, en varios órdenes de magnitud. El marco jurídico aplicable sigue siendo el pensado para el 2G y el 3G. Ninguna adaptación normativa ha acompañado ese cambio de escala.

El derecho protege el acceso, no la generación

El derecho europeo regula con cuidado quién puede acceder a los datos de localización, en qué condiciones y bajo qué control. La Directiva 2002/58/CE establece el principio de confidencialidad de las comunicaciones, y el Tribunal de Justicia declaró, en La Quadrature du Net (asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020), que el artículo 15, apartado 1, de esa directiva, interpretado a la luz de los artículos 7, 8, 11 y 52, apartado 1, de la Carta, se opone a una conservación generalizada e indiferenciada de los datos de tráfico y de localización con carácter preventivo. El Tribunal admitió, no obstante, excepciones acotadas cuando un Estado miembro se enfrenta a una amenaza grave para la seguridad nacional que resulte real y actual o previsible, siempre que exista un control efectivo.

Son protecciones reales, y sería absurdo minimizarlas. Pero todas intervienen a posteriori. Presuponen que el dato existe, que se conserva, y organizan después las condiciones de su explotación.

Ahora bien, si la localización es un subproducto inevitable del funcionamiento de la red, el punto de intervención pertinente no es la confidencialidad. Es la persistencia.

Una posición instantánea, necesaria para encaminar una comunicación y borrada acto seguido, no es un instrumento de vigilancia. Un historial de posiciones conservado durante meses sí lo es, sean cuales sean las garantías de acceso que lo rodeen.

La diferencia entre ambas no es jurídica, es arquitectónica. Y el calendario europeo convierte la cuestión en urgente más que en teórica. La Comisión retiró la propuesta de Reglamento ePrivacy en 2025, a falta de acuerdo entre colegisladores. Desde entonces trabaja en un instrumento distinto sobre la conservación de datos con fines penales, anunciado para 2026 y destinado a armonizar unos regímenes nacionales que se han vuelto dispares desde la anulación de la directiva de 2006. Dicho de otro modo, el texto que fijará durante una década el régimen de los metadatos de localización se está escribiendo ahora mismo, sobre la base de un razonamiento concebido en la época de las celdas kilométricas.

El precedente que el propio 5G creó

Lo más interesante del asunto es que la respuesta correcta ya figura en la norma técnica, pero aplicada a otro objeto.

Hasta el 4G, el identificador permanente del abonado, el IMSI, circulaba en claro por la interfaz radio durante la conexión. Eso es lo que hizo posibles los IMSI catchers, esas falsas estaciones base que, según la descripción de referencia de la Electronic Frontier Foundation, emiten con más potencia que las antenas legítimas para atraer a los terminales y capturar su identificador.

Desde la Release 15 de las especificaciones 3GPP, publicada en 2019, el 5G aporta una respuesta elegante. El identificador permanente, ahora llamado SUPI, puede sustituirse en la interfaz radio por el SUCI, un identificador ocultado que se obtiene cifrando la parte propia del abonado mediante criptografía de curva elíptica, con la clave pública del operador de origen. Solo la red de origen, que posee la clave privada correspondiente, puede descifrarlo. El resultado es único en cada cálculo, lo que impide correlacionar una sesión con otra.

La lógica adoptada merece subrayarse, porque es exactamente la que debería guiar al legislador: no se cifra la posición, lo que sería técnicamente imposible, se cifra la identidad. Una posición sin identidad atribuible tiene un valor muy limitado a efectos de vigilancia individualizada.

La falla: una protección facultativa

Existe, sin embargo, una reserva considerable, y es a nuestro juicio el punto de intervención más concreto de todo el expediente.

El informe NIST CSWP 36A, publicado en marzo de 2026 por el National Institute of Standards and Technology, lo dice sin rodeos. Los terminales y las funciones de red conformes con la Release 15 o posterior están obligados a admitir el SUCI, pero su activación sigue siendo facultativa para el operador. Deben darse tres condiciones: el fabricante del equipo debe soportarlo, el operador debe activarlo en su red y la tarjeta SIM debe llevar los elementos necesarios para el cálculo.

A eso se añade una trampa de configuración. La norma prevé un esquema de protección nulo, en el que el formato SUCI se emplea formalmente pero sin cifrado efectivo, de modo que el identificador circula en claro. El NIST escribe que es necesario que el operador configure su red con un esquema de protección no nulo, y recuerda que un informe del CSRIC, el órgano consultivo de la Federal Communications Commission, recomendaba ya en 2021 reservar el esquema nulo únicamente a las llamadas de emergencia realizadas por un terminal desconocido para la red.

Vale la pena dejar la formulación tal cual. La mejor protección disponible contra el seguimiento de terminales móviles existe en la norma técnica desde 2019. Depende de una opción de configuración dejada a discreción del operador. Una agencia federal estadounidense considera útil publicar un documento en 2026 para recordar que habría que activarla. Y ningún instrumento jurídico europeo la impone.

Hay que añadir que el SUCI no cierra el tema. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlazado que permiten volver a correlacionar sesiones pese al cifrado, y la protección cae por completo si el atacante fuerza al terminal a pasar a una generación anterior. Una obligación jurídica no lo resolvería todo, por tanto. Suprimiría en cambio una brecha que no tiene justificación defendible: la que separa lo que la norma permite de lo que hacen las redes comerciales.

Tres intervenciones coherentes

Si se toma en serio la idea de que la localización debe minimizarse desde el diseño en lugar de protegerse a posteriori, se imponen lógicamente tres medidas.

Hacer obligatorio el ocultamiento efectivo del identificador. Imponer la activación del SUCI y prohibir los esquemas de protección nulos en las redes comerciales, salvo el caso residual de las llamadas de emergencia. No se trata de prescribir una tecnología nueva ni de financiar un despliegue, sino de exigir la activación de una función normalizada desde hace siete años y ya presente en los equipos.
Tratar la conservación como la excepción, no como el valor por defecto. La posición necesaria para encaminar una comunicación debería borrarse en cuanto esa función se haya cumplido. La constitución de un historial debería requerir una justificación específica. Es la diferencia entre una red que sabe dónde está usted y una red que recuerda dónde ha estado.
Convertir la custodia de la clave en el criterio de vinculación pertinente. La ubicación de los servidores en la Unión no significa gran cosa si las claves que permiten hacer inteligibles los datos se encuentran en otro sitio. El criterio jurídicamente significativo debería ser el control efectivo de los medios de descifrado, cuestión que examinamos en detalle a propósito del conflicto entre el Data Act y la CLOUD Act.

El enfoque que sigue Arpokrat

Este razonamiento no es propio del derecho de las telecomunicaciones. Es el que aplicamos a nuestras propias decisiones de arquitectura, y cabe en una frase: lo que no se ha producido no necesita protección.

Por eso ArpokratOS retira el GPS, el Bluetooth y el NFC a nivel del núcleo en lugar de desactivarlos en un menú. Un interruptor es una política: puede ser eludido por un componente privilegiado, reactivado por una actualización, ignorado por un sistema comprometido. Retirar la ruta de código elimina la cuestión. Es la trasposición, a escala de un dispositivo, del mismo desplazamiento que reclamamos a escala del derecho: intervenir sobre la generación en vez de sobre el acceso.

Hay que decir de inmediato lo que eso no hace. Ningún sistema operativo sustrae un terminal a la geometría de la red. Mientras haya una tarjeta SIM activa, el operador conoce la celda de conexión, y encaminar todo el tráfico por Tor no cambia nada, puesto que protege el contenido y el destino, no la capa radio. Precisamente por eso el asunto es jurídico. Hay una categoría de riesgos que ninguna configuración individual reduce, y para la cual la única variable disponible es la norma aplicable al operador.

La misma preocupación gobierna el resto de nuestro trabajo. Un dato que no existe no puede ser requisado, ni revendido, ni exfiltrado, ni descifrado dentro de diez años por una máquina de la que hoy nadie dispone, cuestión que hemos tratado desde el ángulo del cifrado cosechado ahora y roto después.

Conclusión

El debate público sobre la vigilancia móvil se concentra casi exclusivamente en el acceso: quién puede consultar los datos, con qué fundamento, con qué autorización. Ese debate es legítimo, y las resoluciones dictadas desde 2014 por el Tribunal de Justicia han producido efectos tangibles. Pero llega demasiado tarde en la cadena.

La cuestión anterior, y más determinante, es saber si el historial debe existir. Una base constituida hoy por un motivo legítimo sigue disponible mañana para otro, y las garantías que la rodean dependen de decisiones políticas posteriores que nadie controla en el momento de la recogida. Es una apuesta sobre la estabilidad de las instituciones, formulada por una duración que nadie fija.

El 5G ha multiplicado la resolución de esa información sin que interviniera ninguna adaptación normativa. Al mismo tiempo ha demostrado, mediante el mecanismo del SUCI, que la vía practicable consiste en disociar la posición de la identidad en lugar de intentar cifrar una propiedad física de la red. La norma técnica dio la respuesta siete años antes de que el derecho formulara la pregunta.

El texto europeo sobre conservación de datos se está escribiendo ahora. Versará sobre los metadatos, es decir, sobre la localización, es decir, sobre lo que el 5G produce hoy con una finura que sus redactores no conocieron. Saber si se conformará con organizar el acceso a un historial dado por supuesto, o si se atreverá a interrogar la necesidad de ese historial, es probablemente la cuestión de privacidad más importante de los próximos años en Europa. Y es una cuestión que el sector técnico, por una vez, ya ha zanjado en el buen sentido.

Fuentes

Tribunal de Justicia de la Unión Europea, Digital Rights Ireland, asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014
Tribunal de Justicia de la Unión Europea, Tele2 Sverige y Watson, asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016
Tribunal de Justicia de la Unión Europea, La Quadrature du Net y otros, asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzo de 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

La geolocalización permanente: cómo tu teléfono te sigue incluso cuando crees haberlo impedido

Sun, 02 Aug 2026 00:00:00 +0000

En 2024, dos investigadores de la Universidad de Maryland consultaron de forma repetida el servicio de posicionamiento Wi-Fi de Apple, sin privilegios especiales ni material específico, y reconstruyeron en un año la posición precisa de más de dos mil millones de puntos de acceso Wi-Fi en todo el mundo. Su artículo, Surveilling the Masses with Wi-Fi-Based Positioning Systems, muestra lo que permite ese mapa: seguir material que entra y sale de Ucrania, observar el desplazamiento de la población tras los incendios de Maui, rastrear a una persona a través de su router doméstico.

Ninguno de esos dispositivos tenía el GPS activado. La posición venía de otro sitio.

Es el punto ciego más extendido en materia de privacidad móvil: la convicción de que existe un interruptor de localización y de que, una vez apagado, el teléfono deja de saber dónde está. Esa convicción es falsa en siete niveles distintos.

La localización no es una función que tu teléfono activa. Es una propiedad de lo que el teléfono es.

El GPS, el vector menos problemático

El único mecanismo que todo el mundo identifica es también el que menos debería preocuparte.

El GNSS, término genérico que agrupa el GPS estadounidense, Galileo, GLONASS y BeiDou, funciona escuchando. Los satélites emiten de forma continua señales con marca de tiempo, el receptor capta varias y calcula su posición a partir de las diferencias de tiempo de propagación. Precisión habitual en exteriores despejados: de tres a cinco metros, a menudo varias decenas de metros en ciudad, donde las fachadas reflejan las señales.

El punto decisivo es que ese cálculo es pasivo. El teléfono no emite nada hacia los satélites, ningún operador satelital sabe que existes. Si el GNSS fuera lo único en juego, apagar el GPS bastaría.

Existe, sin embargo, un matiz. Para acelerar el primer cálculo, los teléfonos usan A-GPS: descargan las efemérides satelitales desde un servidor, mediante el protocolo SUPL. Para obtener los datos correctos, el teléfono transmite a ese servidor el identificador de la celda de red a la que está conectado. El GNSS puro no te delata, pero el acelerador que le han injertado sí.

La red móvil: lo que el operador sabe por construcción

Para que una llamada pueda llegarte, la red debe saber en qué zona estás. No es una opción activable, es la condición de existencia del servicio. Tu teléfono se anuncia permanentemente a la antena más cercana, y ese registro deja rastro del lado del operador. Ninguna aplicación instalada, ningún permiso concedido: basta con una tarjeta SIM activa.

La precisión depende del método:

Identificador de celda solo: de 200 metros en zona urbana densa a más de 30 kilómetros en zona rural, donde una antena cubre un radio muy amplio.
Cell ID enriquecido, que añade el sector de antena (la mayoría de los emplazamientos se dividen en tres sectores de 120 grados) y la potencia de la señal: de 100 metros a algunos kilómetros.
Timing advance, que mide el retardo de ida y vuelta entre el teléfono y la antena: del orden de 550 metros en GSM, unos 78 metros en LTE.
Multilateración sobre tres antenas o más: de 50 a 300 metros en LTE urbano.

El 5G cambia la escala por dos razones acumulativas. La densidad, primero: las celdas 5G cubren radios mucho más cortos, de modo que la simple conexión ya es una información fina. La normalización, después: desde la Release 16, el 3GPP integra señales de posicionamiento nativas. Los objetivos comerciales apuntan a menos de 3 metros en interiores y menos de 10 metros en exteriores para el 80 % de los terminales, y la Release 18 baja al centímetro para ciertos usos industriales.

La infraestructura que te conecta se convierte por tanto en un sistema de posicionamiento de calidad comparable al GPS, sin que hayas activado nada. Ese dato se conserva según normas nacionales y resulta accesible a las autoridades mediante procedimientos variables. Es el mismo debate de fondo que el tratado a propósito de la jurisdicción aplicable a los datos alojados: protección técnica y protección jurídica no se solapan.

El Wi-Fi: un mapa del mundo hecho de direcciones de hardware

Cada punto de acceso Wi-Fi difunde permanentemente un identificador de hardware único, el BSSID. Esos identificadores son fijos y geográficamente estables: un router doméstico permanece años en el mismo sitio.

Apple, Google y algunos actores especializados mantienen bases que asocian cada BSSID a unas coordenadas, construidas por los teléfonos de sus propios usuarios, que remiten la lista de puntos visibles junto con una posición GNSS. La operación se invierte después: un teléfono que ve cuatro puntos conocidos ya no necesita ni un solo satélite. En zona urbana densa, la precisión alcanza habitualmente algunas decenas de metros, y baja por debajo en interiores.

Dos propiedades hacen que este mecanismo sea difícil de neutralizar. Primero, el teléfono escanea incluso cuando el Wi-Fi parece desactivado: desde Android 4.3, el sistema mantiene un barrido periódico destinado a mejorar la localización, con independencia del interruptor del panel rápido. Ese comportamiento depende de un ajuste distinto, enterrado en los servicios de localización, que la práctica totalidad de los usuarios jamás ha abierto.

Segundo, la base se puede consultar desde fuera. Es la brecha que explotaron Rye y Levin: las interfaces de posicionamiento devuelven no solo la posición solicitada sino también la de puntos de acceso vecinos, lo que permite cosechar el mapa sin acercarse físicamente jamás a los lugares.

Bluetooth y BLE: localizado por los teléfonos de los demás

El Bluetooth Low Energy añade una capa de proximidad, con un alcance de unos pocos metros a algunas decenas de metros, es decir, de una granularidad mucho más fina que la red móvil. Coexisten dos usos. Las balizas comerciales, desplegadas en tiendas, aeropuertos o centros comerciales, emiten un identificador que reconocen las aplicaciones presentes en el teléfono, lo que revela ante qué estante te detuviste y durante cuánto tiempo. Y las redes de localización colaborativas, cuyo modelo es Find My de Apple, replicado después por Google y Samsung.

Este segundo mecanismo invierte una hipótesis implícita. El análisis de referencia, Who Can Find My Devices?, publicado en las actas de PETS 2021 por investigadores de la Universidad Técnica de Darmstadt, reconstruyó el protocolo de Apple mediante ingeniería inversa. Un dispositivo sin conexión emite una señal BLE, cualquier dispositivo Apple cercano la capta, le añade su propia posición y la transmite cifrada a los servidores de Apple, sin que lo sepa ni su portador ni el portador del dispositivo localizado.

La consecuencia es estructural: un dispositivo sin tarjeta SIM, sin Wi-Fi, sin conexión de red de ningún tipo sigue siendo localizable, siempre que un desconocido pase cerca con un teléfono en el bolsillo. Tu aislamiento ya no depende de tus ajustes, sino de los de los transeúntes.

Los sensores inerciales: localizar sin permiso de localización

Un teléfono contiene un acelerómetro, un giroscopio, un magnetómetro y a menudo un barómetro. Esos sensores pertenecen a una categoría de permisos distinta de la localización: una aplicación puede leerlos sin haber preguntado jamás dónde estás.

Investigadores de Princeton lo demostraron con PinMe. Su aplicación parte de la dirección IP y de la zona horaria para una posición aproximada, y luego lee los sensores: el acelerómetro da el perfil de aceleración y frenado, el giroscopio la secuencia de giros, el magnetómetro el rumbo, el barómetro las variaciones de altitud. Una red neuronal identifica el modo de transporte, a pie, coche, tren o avión, y el trayecto se ajusta sobre datos públicos de cartografía, altimetría y meteorología. Resultado: una trayectoria de una precisión comparable al GPS, sin permiso de localización. El método tiene límites, que los autores documentan, ya que falla en zonas sin carreteras y se degrada en trazados en cuadrícula uniforme, donde numerosos recorridos producen la misma firma. Sigue siendo la demostración de que un permiso denegado no es una puerta cerrada.

El barómetro aporta además la dimensión que el GNSS gestiona mal, la vertical. Las exigencias estadounidenses para las llamadas de emergencia imponen una precisión de planta de más o menos 3 metros para el 80 % de las llamadas en interiores. Saber en qué planta se encuentra alguien es de otra naturaleza que saber en qué manzana está.

El mercado del dato: el vector más banal

Los mecanismos anteriores describen cómo se calcula una posición. Queda saber adónde va, y ahí se juega lo esencial del riesgo cotidiano.

Miles de aplicaciones integran SDK publicitarios, componentes de software suministrados por terceros que un desarrollador añade para monetizar su trabajo o medir su audiencia. Esos componentes heredan los permisos de la aplicación anfitriona: una aplicación meteorológica que legítimamente necesita tu posición la transmite a actores cuyo nombre nunca has leído. A eso se suman los flujos de pujas publicitarias, donde tu posición aproximada se difunde a decenas de compradores potenciales cada vez que se muestra un banner, incluidos los que no compran nada y se limitan a escuchar.

Esa materia prima alimenta una industria. La Electronic Frontier Foundation documentó el caso de Fog Data Science, que reivindicaba miles de millones de puntos de datos sobre más de 250 millones de dispositivos, vendidos a policías locales estadounidenses. Brian Krebs describió Locate X, un producto que permite trazar un polígono sobre un mapa y visualizar el historial de los dispositivos que entraron y salieron de esa zona.

Este vector no exige proeza técnica alguna, solo que alguien acepte pagar. El precio es modesto.

Los IMSI catchers: la localización activa

Los mecanismos vistos hasta aquí explotan un funcionamiento normal. Existe también una localización activa, llevada a cabo por un tercero que interviene sobre la red.

Un IMSI catcher, o simulador de celda, es un equipo que se hace pasar por una antena legítima. Los teléfonos al alcance se conectan a él, revelando su identificador de abonado y su presencia en un perímetro restringido.

El 5G debía cerrar esa puerta sustituyendo el identificador permanente en claro por uno cifrado, el SUCI. El cierre es parcial. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlace que permiten volver a correlacionar sesiones pese al cifrado. Sobre todo, la protección cae por completo si el atacante fuerza al terminal a replegarse hacia una generación anterior, el 2G en particular, cuya autenticación es unilateral. Un teléfono 5G sigue siendo vulnerable a un ataque concebido para una red de los años noventa, porque todavía acepta descender hasta ella.

Las contramedidas y su eficacia real

Cada medida siguiente hace algo. Ninguna lo hace todo, y la distancia entre lo que hacen y lo que se les atribuye produce las malas decisiones.

El modo avión

El modo avión corta la emisión del módem celular, del Wi-Fi y del Bluetooth. Es real, y es el mejor resultado para un esfuerzo tan bajo.

Lo que no hace: no detiene los sensores inerciales, no elimina las posiciones ya almacenadas en caché, que partirán al reconectarse, y permite en la mayoría de los dispositivos reactivar el Wi-Fi o el Bluetooth por separado sin salir de él. Es, en fin, un estado de software, no un corte de alimentación: su fiabilidad depende de la integridad del sistema que lo aplica.

Un detalle subestimado: el desenganche y el reenganche a la red son en sí mismos acontecimientos con marca de tiempo del lado del operador. Un teléfono que desaparece a las 21 h en una celda y reaparece a las 23 h en otra ha producido una información, no un silencio.

La aleatorización de la dirección MAC

Los sistemas móviles emiten hoy direcciones MAC aleatorias durante los barridos, para impedir el seguimiento de un lugar a otro. La intención es buena, el resultado incompleto. Los trabajos de referencia, entre ellos Why MAC Address Randomization is not Enough, muestran que el contenido de las tramas de descubrimiento suele bastar para reidentificar el dispositivo: el número de elementos de información, sus valores y su orden forman una huella. A ello se añaden los números de secuencia, incrementales y por tanto encadenables, y la firma temporal propia de cada modelo. Algunos estudios informan de un seguimiento correcto de la mitad de los dispositivos durante al menos veinte minutos.

Límite conceptual, por último: la aleatorización solo afecta a la fase de descubrimiento. En cuanto te conectas a una red, la dirección utilizada es estable para esa red, por diseño, para que la conexión funcione. La cafetería a la que vas cada mañana te reconoce.

Cortar de verdad los escaneos

Es el ajuste más rentable y el más ignorado. En Android, la búsqueda Wi-Fi y la búsqueda Bluetooth son dos opciones distintas, situadas en los servicios de localización, independientes de los interruptores del panel rápido. Mientras estén activas, apagar el Wi-Fi desde el panel no basta: el barrido continúa.

Desactivarlas elimina una capa entera de recolección, sin más coste que un primer cálculo de posición algo más lento. Para la mayoría de los lectores, es la mejor relación entre el esfuerzo invertido y el resultado obtenido.

Los permisos de las aplicaciones

Revocar el permiso de localización a las aplicaciones que manifiestamente no lo necesitan sigue siendo útil, y los sistemas recientes ofrecen tres graduaciones: la autorización puntual, la autorización limitada al uso activo y la localización aproximada, que solo transmite una zona del orden del kilómetro.

Eso no protege, en cambio, ni de los SDK alojados en una aplicación que tenga una razón legítima para acceder a tu posición, ni de los sensores inerciales, ni de las capas de red, que no pasan por permiso alguno.

Lo que la VPN no protege

Punto que conviene aclarar, porque la creencia contraria está muy extendida: una VPN no oculta tu posición. Oculta tu dirección IP pública, de modo que falsea la geolocalización por IP, que es de todas formas el mecanismo más grosero de la lista.

Una VPN no toca ni el receptor GNSS, ni el barrido Wi-Fi, ni el Bluetooth, ni los sensores. No cambia nada de lo que sabe tu operador, puesto que el túnel cifrado transita por sus antenas y la conexión a la celda le sigue siendo visible. No impide que una aplicación con permiso de localización transmita coordenadas exactas dentro del túnel. La VPN protege el contenido y el destino de tus comunicaciones en una red no fiable, y eso ya es mucho. La localización no está en su perímetro.

Los límites físicos

Una funda de Faraday funciona en sentido literal: bloquea emisiones y recepciones. La retirada de la batería también, cuando todavía es posible. El dispositivo dedicado, o dejar el teléfono en otra parte, sigue siendo la medida más robusta.

Estas soluciones comparten un defecto que hay que mirar de frente: producen una anomalía. Un teléfono que calla dos horas cada martes por la noche dice algo. Frente a un adversario que analiza pautas en lugar de posiciones instantáneas, la ausencia es un dato.

Tres adversarios, tres estrategias

Es la distinción más importante de este artículo, y la que menos se lee.

Frente a un anunciante o un intermediario de datos, el combate es ganable. Disciplina de permisos, desactivación de los barridos, sistema sin servicios de localización propietarios, restablecimiento del identificador publicitario: el conjunto reduce muy notablemente el volumen recogido. Ese adversario busca volumen a bajo coste, no tu caso particular.

Frente a tu operador, ninguna configuración basta. La localización celular es la condición del servicio. Las únicas variables reales son jurídicas, lo que la ley autoriza a conservar y a transmitir, y materiales: qué dispositivo, qué tarjeta SIM, a qué nombre, encendido dónde.

Frente a un adversario estatal dirigido, el razonamiento cambia de nuevo, ya que combina el acceso legal a los datos del operador, la localización activa mediante simulador de celda, el requerimiento a las plataformas y, en su caso, el compromiso del terminal. Las contramedidas de software reducen la superficie, pero el objetivo realista no es la desaparición: es saber con precisión qué sigue expuesto.

El enfoque de ArpokratOS

ArpokratOS responde a este panorama con una elección que se desprende de la distinción anterior: lo que debe neutralizarse se neutraliza a nivel de sistema, no en un menú.

En el GNSS, el controlador de hardware se retira. El dispositivo se comporta como si el chip no existiera, tanto para las aplicaciones como para el propio sistema. La diferencia con un interruptor de ajustes no es cosmética. Un interruptor es una política: lo aplica una capa que puede ser eludida por un componente suficientemente privilegiado, reactivada por una actualización o ignorada por un sistema comprometido. Retirar la ruta de código suprime la cuestión, ya que no queda nada que activar.

El Bluetooth se trata a nivel Core, con la misma lógica. Un Bluetooth desactivado en los ajustes deja en la práctica la pila de software viva en muchos dispositivos, para alimentar los servicios de proximidad y las redes de localización colaborativas. Ausente a nivel de sistema, no puede dialogar con una baliza de tienda, ni participar en una red de tipo Find My, ni servir de superficie de ataque sin interacción.

Hay que decir claramente lo que esto no hace. ArpokratOS no vuelve indetectable a un teléfono. Mientras una tarjeta SIM esté activa, el operador conoce la celda de conexión, y ningún sistema operativo cambia eso, ni siquiera con la totalidad del tráfico encaminada por Tor. El enrutamiento protege el contenido y el destino, no la geometría radio. Quien promete la invisibilidad vende una historia.

Lo que una arquitectura así aporta es más modesto: la supresión de las capas aplicativas y de proximidad, por las que pasa la inmensa mayoría de la recolección real, y un modelo de amenaza explícito sobre lo que subsiste. Es el razonamiento aplicado a la elección de un sistema de escritorio, detallado en nuestro comparativo de sistemas operativos: la pregunta útil no es si una herramienta protege, sino de qué protege y a qué precio.

Conclusión

Este artículo no proporciona un método para desaparecer. Ese método no existe, y los textos que pretenden lo contrario producen sobre todo falsa confianza, más peligrosa que la ausencia de protección porque lleva a asumir riesgos.

El objetivo era sustituir una pregunta binaria, ¿soy localizable o no?, por una pregunta útil: por quién, con qué precisión, a qué coste para ellos y si eso me importa. La respuesta difiere para un periodista que protege una fuente, un directivo de viaje en una jurisdicción delicada, un abogado cuyas citas revelan una estrategia o un particular molesto porque un anunciante conozca sus costumbres.

Lo que debería retener la atención no es, por cierto, el rendimiento de cada uno de esos mecanismos tomado por separado, sino el hecho de que se solapan. Una posición con cincuenta metros de margen no es muy interesante. Una posición con cincuenta metros de margen, cada cuarto de hora, durante dos años, dibuja un domicilio, un lugar de trabajo, una confesión religiosa, un estado de salud, una relación, una fuente. El dato de localización es el metadato que hace legibles a todos los demás, y por eso vale caro.

Fuentes

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: El nuevo 'súper cookie' de las operadoras que amenaza tu privacidad

Mon, 01 Jun 2026 00:00:00 +0000

El fin programado de las cookies de terceros en los navegadores web ha desencadenado una verdadera carrera armamentística en la industria de la publicidad dirigida. Mientras que Google intenta imponer sus propios estándares (como la Privacy Sandbox), otro actor inesperado ha decidido apoderarse de un trozo del pastel: tu Proveedor de Servicios de Internet (ISP).

Así nació Utiq (anteriormente conocido como proyecto TrustPid), una empresa conjunta fundada por los gigantes europeos de las telecomunicaciones. Vendido al público en general como una solución “transparente y respetuosa”, Utiq es en realidad lo que más temen los expertos en ciberseguridad: un “supercookie” que funciona a nivel de red.

¿Qué es Utiq y cómo funciona?

Tradicionalmente, el rastreo publicitario (las cookies) es gestionado por tu navegador web (Chrome, Firefox, Safari). Podías bloquearlo utilizando extensiones (como uBlock Origin) o un navegador orientado a la privacidad (como Brave).

Utiq desplaza el problema un paso atrás: al nivel de tu conexión de red.

Así es como se cierra la trampa:

La interceptación de red: Cuando navegas por internet a través de tu conexión móvil (4G/5G) o tu router de fibra, Utiq utiliza tu dirección IP y los datos de tu suscripción de telecomunicaciones para identificarte.
El consentimiento (la falsa elección): Al llegar a un sitio asociado, una ventana emergente (popup) te pide que aceptes Utiq. Con la fatiga relacionada con los banners de cookies (Consent Fatigue), millones de usuarios hacen clic en “Aceptar” sin leer.
El “Network Signal”: Una vez dado el consentimiento, Utiq contacta directamente a tu operador de telecomunicaciones. Este último genera un token de identificación único y seudonimizado (la señal de red) que transmite a los anunciantes.

Ahora eres rastreable de sitio en sitio, no por un archivo almacenado en tu computadora, sino por la propia infraestructura que te provee internet.

¿Por qué Utiq es una pesadilla para la privacidad (OPSEC)?

La iniciativa plantea graves problemas para la soberanía digital y la confidencialidad de tus datos:

El rastreo en origen: A diferencia de las cookies clásicas, no puedes simplemente “borrar tu historial” o “vaciar tu caché” para deshacerte de Utiq. El token de identificación es generado por tu ISP.
La centralización de perfiles: Los operadores de telecomunicaciones ya conocen tu nombre, tu dirección física, tus datos bancarios y tu ubicación en tiempo real. Al vincular tu historial de navegación web a través de Utiq, crean un perfil de comportamiento de una precisión temible.
El fallo de la seudonimización: Utiq se defiende de compartir tu nombre en texto claro, afirmando utilizar tokens “encriptados”. Sin embargo, en el mundo de la ciberseguridad, está demostrado que la seudonimización es reversible. El cruce de estos tokens con otras bases de datos permite reidentificar fácilmente a los individuos.

¿Qué operadores utilizan Utiq?

Utiq fue fundado por una alianza de los cuatro operadores europeos más grandes. Si eres cliente de uno de ellos (o de una de sus filiales de bajo coste), tu conexión es potencialmente ya “compatible” con este rastreo.

Aquí están los fundadores y los enlaces a sus respectivas políticas de privacidad:

Orange (Francia, España, Polonia, etc.)
Vodafone (Alemania, España, Reino Unido, etc.)
Telefónica / O2 / Movistar (España, Alemania, etc.)
Deutsche Telekom (Alemania, Europa Central)

El consejo OPSEC: Aunque Utiq ofrece un portal centralizado de gestión del consentimiento (consenthub.utiq.com) para revocar el acceso, la mejor defensa sigue siendo tecnológica.

El enfoque de Confianza Cero (Zero-Trust) para contrarrestar Utiq

La filosofía de la soberanía digital, impulsada por ecosistemas como Arpokrat, se basa en un principio simple: nunca confiar en la infraestructura de red.

Para neutralizar técnicamente sistemas como Utiq, la solución es ocultar tu tráfico a tu propio proveedor de internet:

El uso de una VPN soberana: Al cifrar tu tráfico desde el momento en que sale de tu dispositivo, tu ISP solo ve un flujo de datos ilegible dirigido hacia un servidor VPN. Ya no puede inyectar ni leer los tokens de Utiq.
La red Tor (Orbot): El enrutamiento cebolla (onion routing) impide cualquier identificación de extremo a extremo.
El cifrado DNS (DoH/DoT): Impide que tu operador sepa qué sitios web solicitas visitar.

En resumen, Utiq es la prueba de que los proveedores de servicios de internet ya no se conforman con ser simples “tuberías”; quieren convertirse en corredores de datos. Más que nunca, el cifrado de tu tráfico ya no es una opción de seguridad, sino una necesidad absoluta para preservar tu silencio digital.