Vigilancia on Arpokrat

SignalTrace: Europa exporta la vigilancia que no se permite a sí misma

Tue, 01 Sep 2026 00:00:00 +0000

Una berlina gris pasa bajo un pórtico de autopista a 110 km/h. La cámara fijada al mástil lee la matrícula, la fecha, la registra. Nada nuevo: este dispositivo existe desde hace veinte años, desplegado por decenas de miles de unidades tanto en Norteamérica como en Europa.

Pero si ese pórtico ha recibido el módulo que el grupo italiano Leonardo comercializa desde junio de 2026, acaba de registrar algo más. El iPhone del conductor. Los auriculares inalámbricos de la pasajera. El reloj conectado sobre el salpicadero. La radio del coche. El llavero conectado en la guantera. Los sensores de presión de los cuatro neumáticos. La tarjeta de acceso olvidada en una chaqueta. Y, si un perro duerme detrás, su chip de identificación.

Una decena de identificadores, una matrícula, una posición, una hora. Repítalo en cada pórtico de la red y ya no está siguiendo un coche: está siguiendo a personas, y sabe con quién se desplazan.

Lo que hace realmente el dispositivo

El producto se llama SignalTrace. Vendido por Leonardo US Cyber and Security Solutions, completa la gama ELSAG, una de las líneas de lectores automáticos de matrículas más extendidas del mercado estadounidense. Su existencia fue revelada el 8 de junio de 2026 por Joseph Cox en 404 Media, a partir de una ficha de producto del fabricante.

El punto decisivo cabe en una frase: no se trata de cámaras nuevas. SignalTrace es un sensor de radio añadido a los lectores de matrículas ya instalados. El mástil no cambia, el emplazamiento no cambia, la silueta del equipo al borde de la carretera no cambia. Lo que cambia es lo que ese equipo escucha.

El sensor registra los identificadores difundidos en claro por los protocolos Bluetooth, Wi-Fi y RFID de los aparatos presentes en el vehículo. Punto técnico a menudo mal entendido: no se piratea ningún aparato ni se explota ninguna vulnerabilidad. Un dispositivo Bluetooth o Wi-Fi emite permanentemente tramas de descubrimiento, porque estos protocolos fueron concebidos así. Sus auriculares anuncian su presencia para que su teléfono los encuentre, y ese teléfono interroga a su vez el aire circundante en busca de las redes que conoce. Estas emisiones son públicas por construcción, y cualquier receptor al alcance las oye.

Leonardo precisa además que el sistema funciona con o sin lector de matrículas, incluso en interiores, y reconoce un vehículo cuya matrícula esté tapada o retirada.

La adaptación sobre lo existente es el verdadero asunto político. Instalar una nueva red de cámaras desencadena una votación, una deliberación, a veces un litigio. Añadir una tarjeta electrónica dentro de una carcasa ya validada no desencadena nada. La capacidad de vigilancia cambia de naturaleza sin debate público, porque materialmente no hay nada nuevo que ver.

Del vehículo a la persona, y de la persona al grupo

Un lector de matrículas responde a una pregunta: dónde estaba este vehículo. SignalTrace añade dos: quién iba dentro, y con quién.

Leonardo no lo oculta, es el argumento de venta. El sistema constituye lo que la documentación llama una huella electrónica, un conjunto de identificadores «emitidos frecuentemente juntos». El ejemplo del fabricante es explícito: en una ciudad entera, un solo vehículo asociará un iPhone 13rev2, una radio Audi, unos auriculares Bose, un reloj Garmin, un localizador de llaves y la matrícula ABC-1234.

El producto no se limita a seguir vehículos. Produce automáticamente un grafo de relaciones entre personas, sin que nadie haya tenido que formular la menor sospecha.

Ahí se produce el salto cualitativo. Al correlacionar los aparatos que viajan juntos con regularidad, el sistema construye mecánicamente un grafo social. Dos teléfonos que se encuentran cada mañana en el mismo coche son un viaje compartido, o una relación que ninguno de los dos desea hacer pública. Cincuenta aparatos captados en el mismo lugar a la misma hora son una concentración: una manifestación, un oficio religioso, una reunión sindical o una cola ante una clínica.

Ninguna de estas conclusiones exige acceder al contenido de una comunicación. Se deduce de una tabla de proximidad, por defecto, sobre toda la población que circula y no sobre objetivos designados. Es culpabilidad por asociación, producida industrialmente, antes de cualquier investigación. Tom Bowman, jurista del Center for Democracy & Technology, resume el problema en TechNewsWorld: lo que hace útil la herramienta para seguir a un sospechoso real la hace igualmente capaz de seguir a todos los demás automovilistas, ninguno de los cuales ha consentido en que se registren sus aparatos.

Leonardo opone dos argumentos: el sistema no descifra ni lee el contenido de las comunicaciones, y no identifica a las personas por sí mismo. Ambas afirmaciones son exactas, y ambas son ajenas al problema. La información buscada nunca fue el contenido, está en el metadato de posición, más revelador que un mensaje. En cuanto a la identificación, el propio fabricante reconoce que un investigador puede vincular una firma electrónica a una matrícula y remontarse luego al titular mediante los registros de matriculación.

Un derecho estadounidense escrito para otra cosa

En Estados Unidos existen leyes estatales que regulan los lectores de matrículas, y algunas son exigentes en cuanto a plazos de conservación y finalidades de acceso. Pero todas se redactaron en torno a un objeto preciso: la imagen de una placa de matrícula. Ninguna anticipa la captación de identificadores de aparatos personales por el mismo equipo.

Este desfase no crea una ilegalidad sino una zona gris, más cómoda para el vendedor. Un cuerpo policial puede sostener, sin mentir, que su programa de lectores de matrículas está autorizado y es conforme, mientras recoge ya bajo el mismo régimen datos de naturaleza completamente distinta. Leonardo dispone además de contratos federales, con el Special Operations Command y la General Services Administration, es decir, una vía de compra que elude en gran medida las validaciones locales.

El debate constitucional, por su parte, acaba de moverse, y conviene ser preciso porque el estado del derecho ha cambiado este verano. En enero de 2026, un tribunal federal de Virginia juzgó, en el asunto Schmidt v. City of Norfolk, que la red de cámaras Flock de la ciudad no constituía un registro en el sentido de la cuarta enmienda, al no cubrir la totalidad de los desplazamientos de los habitantes. La decisión está en apelación ante el Cuarto Circuito, donde ha intervenido la ACLU.

Después, el 29 de junio de 2026, el Tribunal Supremo dictó Chatrie v. United States. Por cinco votos contra cuatro, con ponencia de la jueza Kagan, resolvió que la obtención por la policía de los datos de localización de un teléfono constituía un registro, ya que una persona conserva una expectativa razonable de privacidad sobre esos datos incluso en manos de un tercero y durante un periodo corto. La sentencia prolonga Carpenter v. United States de 2018 y debilita la doctrina del tercero depositario, como ha señalado el CDT.

El alcance exacto de Chatrie sobre SignalTrace no está resuelto, y sería imprudente afirmar lo contrario: la sentencia versa sobre datos reclamados a Google, no sobre una captación directa por un sensor policial en el espacio público. Pero instala el razonamiento que importa, a saber, que la sensibilidad de un dato de localización no depende de quién lo posea.

La cuestión europea, que es la cuestión de verdad

Aquí es donde el expediente se vuelve incómodo para Europa. Leonardo no es un proveedor estadounidense, sino un grupo italiano cotizado en Milán cuyo primer accionista es el Ministerio italiano de Economía y Finanzas, con alrededor del 30 % del capital y el poder de designar la mayoría del consejo de administración. El Estado italiano no es un accionista pasivo de este producto.

El punto técnico, primero

En derecho europeo, un identificador de aparato es un dato de carácter personal. No es una opinión doctrinal, sino la posición constante de las autoridades. La CNIL trata explícitamente la dirección MAC como tal en su doctrina sobre los dispositivos de medición de afluencia, y solo admite su recogida en el espacio público bajo condiciones estrictas: anonimización en unos minutos con una alta tasa de colisión entre individuos, o seudonimización fiable seguida de destrucción en veinticuatro horas, a falta de lo cual el consentimiento pasa a ser obligatorio. La misma doctrina precisa que invitar a la gente a apagar su Wi-Fi no es una modalidad de oposición aceptable.

El Tribunal de Justicia de la Unión Europea precisó el 4 de septiembre de 2025, en el asunto SEPD contra JUR (C-413/23 P), que el carácter personal de un dato seudonimizado se aprecia a la luz de los medios de reidentificación razonablemente utilizables. Ahora bien, aquí el poseedor es una autoridad policial, que dispone de los registros de matriculación. Los medios de reidentificación no son hipotéticos, están en el despacho de al lado.

El matiz que lo cambia todo

Sería falso escribir que SignalTrace «sería ilegal en Europa», y un lector jurista lo señalaría de inmediato. Un tratamiento realizado por una autoridad competente con fines de prevención y represión penal no está sujeto al RGPD. Está sujeto a la Directiva (UE) 2016/680, llamada Directiva de protección de datos penales, transpuesta por separado por cada Estado miembro, en Francia en el título III de la ley de protección de datos. La CNIL recuerda que este régimen es autónomo, con sus propias bases de licitud y sus propios derechos.

La buena pregunta no es, por tanto, la de la legalidad abstracta, sino la de las condiciones. Bajo este régimen, tal dispositivo supondría una base legal nacional expresa, finalidades determinadas, una necesidad demostrada, un plazo de conservación acotado, una evaluación de impacto y un control independiente. En Francia, los lectores de matrículas están regulados así: los artículos L233-1 y L233-1-1 del código de seguridad interior fijan una lista limitativa de infracciones que abren derecho a su uso, y la conservación sigue siendo de las más cortas de la Unión, quince días en principio, aunque una proposición de ley del Senado busque alargarla.

Esa es la diferencia de fondo con la situación estadounidense. En Estados Unidos, la ley regula un objeto, la matrícula, y el silencio sobre los identificadores de aparatos equivale a permiso. En Europa, la ley regula finalidades y categorías de datos, y ese silencio equivale más bien a prohibición, a falta de base legal expresa. El vacío constatado al otro lado del Atlántico no existe aquí de la misma forma. No porque Europa sea más virtuosa: su técnica jurídica es la inversa.

Cuánto vale entonces la protección

Queda la pregunta que motiva este artículo. ¿Cuánto vale una protección reguladora europea cuando una empresa europea, controlada por un Estado miembro, vende fuera de Europa una capacidad que no podría desplegar en casa sin una ley nueva?

Las objeciones merecen tomarse en serio. Un industrial no es responsable del marco legal de su cliente: corresponde a las autoridades estadounidenses decidir qué autorizan en su casa. El producto no se vende a una dictadura sino a un Estado de derecho dotado de un tribunal supremo activo, como acaba de recordar Chatrie. Y el argumento de soberanía industrial es legítimo: si los grupos europeos se prohíben esos mercados, los tomarán proveedores israelíes, estadounidenses o chinos, sin que la vigilancia retroceda un metro, y Europa perderá su base tecnológica.

Estos argumentos son admisibles. No responden al problema.

Primero porque la Unión ya ha reconocido que la exportación de medios de vigilancia no es un comercio como otro cualquiera. El Reglamento (UE) 2021/821 sobre productos de doble uso introdujo en su artículo 5 una cláusula general que cubre los productos de cibervigilancia, porque el legislador admitió que una herramienta legal de fabricar puede ser ilegítima en destino. Su límite es instructivo: se activa ante un riesgo de represión interna o de violaciones graves de los derechos humanos, categorías pensadas para regímenes autoritarios. Una venta a una policía municipal estadounidense no entra ahí. La rejilla europea examina la moralidad del cliente, nunca la naturaleza de la capacidad vendida.

Después porque un producto así no es un stock que se liquida, sino una capacidad que se mantiene: financia investigación, forma ingenieros, acumula saber hacer y crea una base instalada. El día en que un atentado grave empuje a un Estado miembro a reclamar esa capacidad, el debate ya no versará sobre la conveniencia de construirla. Existirá, será europea, será madura, y su proveedor será parcialmente público. El argumento del «solo seguimos el mercado» se vuelve entonces circular, puesto que el mercado doméstico habrá sido preparado por la exportación.

Eso es lo que vale una protección reguladora en este escenario: protege a los europeos frente a los usos, no frente a la existencia de los medios. Resuelve la cuestión de quién tiene derecho a apretar el botón, y deja a la industria construirlo, venderlo, mejorarlo y luego esperar.

Lo que se puede hacer, sin contarse historias

La primera respuesta que se menciona es siempre la aleatorización de la dirección MAC. Merece un examen honesto, ni promoción ni desprecio. Es real y funciona.

Android desde la versión 10 e iOS desde la versión 14 aleatorizan por defecto la dirección MAC utilizada en Wi-Fi, con una dirección distinta por red. En Bluetooth Low Energy, los aparatos modernos difunden direcciones privadas resolubles, que cambian periódicamente y solo pueden vincularse al aparato real por un interlocutor que posea la clave de resolución.

Sus límites son igual de reales.

El emparejamiento vuelve a abrir la puerta. La clave de resolución se transmite durante el emparejamiento. Un aparato ya emparejado, o aprobado explícitamente, recupera la identidad estable tras la dirección rotatoria. El mecanismo está concebido para eso.
Muchos objetos no aleatorizan nada. Sensores de presión de neumáticos, tarjetas RFID, chips de identificación animal, radios de coche y periféricos baratos emiten identificadores fijos. La ficha de producto de Leonardo menciona exactamente esas categorías, lo que no es casualidad.
La aleatorización se desactiva. Se corta red por red, y a menudo lo está por comodidad, para un filtrado MAC en un router doméstico o por política de empresa.
El grupo sobrevive a la rotación de los identificadores. Es el punto menos intuitivo y el más importante. SignalTrace no busca un identificador, busca un conjunto de aparatos que viajan juntos. Si un solo miembro del grupo emite un identificador estable, el conjunto sigue siendo vinculable, sea cual sea la disciplina de los demás.

La medida más eficaz sigue siendo la más aburrida: no emitir. Eso supone desactivar Bluetooth y Wi-Fi a nivel del sistema, en los ajustes, y no desde el panel de accesos rápidos. La distinción no es cosmética, la habíamos detallado en nuestro artículo sobre la geolocalización permanente del teléfono: en la mayoría de los sistemas de consumo, el botón del panel rápido corta el emparejamiento visible pero deja viva la pila de software, y los análisis de proximidad continúan. Aquel artículo describía el barrido Bluetooth como un vector teórico. SignalTrace es su producto comercial, catalogado y entregable.

Hay que ser honesto con el resultado: estas medidas reducen la superficie de exposición, no la anulan. Un vehículo sigue siendo una matrícula, y una matrícula sigue siendo legible. La única manera de no emitir nada es no llevar nada, lo que no es una política pública.

Lo que esto dice de nuestras decisiones de diseño

En Arpokrat, es este razonamiento el que nos llevó a tratar el Bluetooth en el Core de ArpokratOS y no en los ajustes. Un interruptor en una interfaz es una preferencia de usuario: una actualización, una aplicación del sistema o un servicio de localización pueden eludirla o reactivarla, sin que el usuario lo sepa. Una pila ausente no se reactiva.

Frente a una captación como la de SignalTrace, esto evidentemente no vuelve indetectable un aparato, y no lo pretendemos: un teléfono sigue en una red móvil, y los demás objetos de un vehículo emiten por su cuenta. Lo que garantiza es que un vector de emisión concreto está ausente por construcción en lugar de desactivado por confianza. Es la tesis que defendíamos a propósito de la 5G y el error de objetivo del derecho: la protección jurídica se concentra en el acceso a los datos cuando debería recaer sobre la existencia misma de la infraestructura que los produce. SignalTrace es su ilustración, salvo que esta infraestructura se construye en Europa.

Conclusión

Lo más llamativo de este expediente no es la capacidad técnica, que los investigadores describían desde hace años. Es el método de despliegue.

No habrá una nueva red de cámaras que inaugurar, ninguna deliberación municipal que impugnar, ningún contrato público identificable como un cambio de naturaleza. Habrá módulos añadidos a mástiles existentes, bajo contratos existentes, en programas ya autorizados. El día en que se abra el debate público, la infraestructura estará instalada, amortizada e integrada en los procedimientos de investigación. El debate versará entonces sobre las condiciones de acceso a una base que existe, nunca sobre la conveniencia de haberla constituido.

Es el orden habitual de las cosas en materia de vigilancia, y no es accidental. Queda por saber si Europa considera que tiene algo que decir cuando sus propios industriales, respaldados por sus propios Estados, construyen esta infraestructura para otros. El derecho europeo ha organizado cuidadosamente la respuesta a la pregunta de quién puede consultar estos datos en casa. Nunca ha planteado la de quién tiene derecho a fabricar la máquina.

El 5G, la localización y el error de objetivo del derecho

Tue, 18 Aug 2026 00:00:00 +0000

En 2011, la policía de Detroit pidió a un operador móvil el historial de conexión a antenas del teléfono de Timothy Carpenter. Obtuvo 12 898 puntos de localización repartidos a lo largo de 127 días, alrededor de cien al día. Siete años después, el Tribunal Supremo de los Estados Unidos declaró que esa solicitud constituía un registro y exigía una orden judicial.

Esos 12 898 puntos procedían de antenas de cuarta generación, cada una de las cuales cubría un radio de varios kilómetros. La misma petición, dirigida hoy a una red 5G urbana, no devolvería cien puntos al día con un margen de varios kilómetros. Devolvería un volumen muy superior, con un margen de unas decenas de metros.

La tecnología ha cambiado de escala. El razonamiento jurídico, en cambio, sigue en el mismo punto de la cadena.

Un bien jurídico que los jueces reconocen a ambos lados del Atlántico

Existe un interés que casi todo el mundo admite y que casi ningún texto protege de forma eficaz: el derecho a estar en algún sitio sin que ese hecho quede registrado.

La jurisprudencia europea lo estableció sin ambigüedad. En Digital Rights Ireland (asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014), y después en Tele2 Sverige y Watson (asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016), el Tribunal de Justicia de la Unión Europea declaró que esos datos, considerados en su conjunto, permiten extraer conclusiones muy precisas sobre la vida privada de las personas: hábitos cotidianos, lugares de residencia, desplazamientos, actividades realizadas y relaciones sociales.

El Tribunal Supremo de los Estados Unidos llegó a una conclusión cercana en Carpenter v. United States, 585 U.S. 296 (2018). Insistió en un punto que la doctrina estadounidense ha comentado mucho: el carácter inevitable y automático de esa recogida. Nadie consiente en quedar conectado a una antena: lo está porque tiene un teléfono encendido.

El bien jurídico existe, pues, y lo reconocen los dos tribunales que cuentan en la materia. El problema está en otra parte.

Lo que el 5G cambió realmente

Una confusión frecuente consiste en tratar la localización como un dato que el teléfono transmite, igual que un mensaje o una foto. No es así. La localización es una consecuencia física del funcionamiento de la red. El operador sabe a qué antena está conectado el aparato porque necesita saberlo para encaminar una llamada. No existe ninguna clave que permita cifrar esa información, puesto que no es un contenido sino una propiedad de la propia conexión.

Eso es precisamente lo que hace que el 5G sea relevante en el plano jurídico, y no en el técnico.

Las arquitecturas anteriores se basaban en celdas amplias. Una antena 4G suele cubrir un radio de varios kilómetros, y la posición deducida de la mera conexión se contaba en centenares de metros en ciudad y a veces en decenas de kilómetros en zona rural. El 5G se apoya en una densificación masiva: las celdas urbanas cubren normalmente unos cientos de metros, y la literatura de ingeniería maneja densidades del orden de cuarenta a cincuenta estaciones base por kilómetro cuadrado, frente a cuatro o cinco en la época del 3G.

La consecuencia es mecánica. Según el informe técnico de Ericsson sobre el posicionamiento 5G, la infraestructura desplegada solo para la conectividad alcanza una precisión de veinte a cincuenta metros en exteriores y de uno a tres metros en interiores, y baja del metro en condiciones urbanas favorables. No se trata de una función de localización activada en algún sitio, sino de lo que la red sabe por construcción, sin que haya ninguna aplicación instalada ni ningún permiso concedido. Hemos detallado todos estos mecanismos, así como las contramedidas que funcionan de verdad, en nuestro artículo sobre la geolocalización permanente del teléfono.

La intrusión ha aumentado, por tanto, en varios órdenes de magnitud. El marco jurídico aplicable sigue siendo el pensado para el 2G y el 3G. Ninguna adaptación normativa ha acompañado ese cambio de escala.

El derecho protege el acceso, no la generación

El derecho europeo regula con cuidado quién puede acceder a los datos de localización, en qué condiciones y bajo qué control. La Directiva 2002/58/CE establece el principio de confidencialidad de las comunicaciones, y el Tribunal de Justicia declaró, en La Quadrature du Net (asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020), que el artículo 15, apartado 1, de esa directiva, interpretado a la luz de los artículos 7, 8, 11 y 52, apartado 1, de la Carta, se opone a una conservación generalizada e indiferenciada de los datos de tráfico y de localización con carácter preventivo. El Tribunal admitió, no obstante, excepciones acotadas cuando un Estado miembro se enfrenta a una amenaza grave para la seguridad nacional que resulte real y actual o previsible, siempre que exista un control efectivo.

Son protecciones reales, y sería absurdo minimizarlas. Pero todas intervienen a posteriori. Presuponen que el dato existe, que se conserva, y organizan después las condiciones de su explotación.

Ahora bien, si la localización es un subproducto inevitable del funcionamiento de la red, el punto de intervención pertinente no es la confidencialidad. Es la persistencia.

Una posición instantánea, necesaria para encaminar una comunicación y borrada acto seguido, no es un instrumento de vigilancia. Un historial de posiciones conservado durante meses sí lo es, sean cuales sean las garantías de acceso que lo rodeen.

La diferencia entre ambas no es jurídica, es arquitectónica. Y el calendario europeo convierte la cuestión en urgente más que en teórica. La Comisión retiró la propuesta de Reglamento ePrivacy en 2025, a falta de acuerdo entre colegisladores. Desde entonces trabaja en un instrumento distinto sobre la conservación de datos con fines penales, anunciado para 2026 y destinado a armonizar unos regímenes nacionales que se han vuelto dispares desde la anulación de la directiva de 2006. Dicho de otro modo, el texto que fijará durante una década el régimen de los metadatos de localización se está escribiendo ahora mismo, sobre la base de un razonamiento concebido en la época de las celdas kilométricas.

El precedente que el propio 5G creó

Lo más interesante del asunto es que la respuesta correcta ya figura en la norma técnica, pero aplicada a otro objeto.

Hasta el 4G, el identificador permanente del abonado, el IMSI, circulaba en claro por la interfaz radio durante la conexión. Eso es lo que hizo posibles los IMSI catchers, esas falsas estaciones base que, según la descripción de referencia de la Electronic Frontier Foundation, emiten con más potencia que las antenas legítimas para atraer a los terminales y capturar su identificador.

Desde la Release 15 de las especificaciones 3GPP, publicada en 2019, el 5G aporta una respuesta elegante. El identificador permanente, ahora llamado SUPI, puede sustituirse en la interfaz radio por el SUCI, un identificador ocultado que se obtiene cifrando la parte propia del abonado mediante criptografía de curva elíptica, con la clave pública del operador de origen. Solo la red de origen, que posee la clave privada correspondiente, puede descifrarlo. El resultado es único en cada cálculo, lo que impide correlacionar una sesión con otra.

La lógica adoptada merece subrayarse, porque es exactamente la que debería guiar al legislador: no se cifra la posición, lo que sería técnicamente imposible, se cifra la identidad. Una posición sin identidad atribuible tiene un valor muy limitado a efectos de vigilancia individualizada.

La falla: una protección facultativa

Existe, sin embargo, una reserva considerable, y es a nuestro juicio el punto de intervención más concreto de todo el expediente.

El informe NIST CSWP 36A, publicado en marzo de 2026 por el National Institute of Standards and Technology, lo dice sin rodeos. Los terminales y las funciones de red conformes con la Release 15 o posterior están obligados a admitir el SUCI, pero su activación sigue siendo facultativa para el operador. Deben darse tres condiciones: el fabricante del equipo debe soportarlo, el operador debe activarlo en su red y la tarjeta SIM debe llevar los elementos necesarios para el cálculo.

A eso se añade una trampa de configuración. La norma prevé un esquema de protección nulo, en el que el formato SUCI se emplea formalmente pero sin cifrado efectivo, de modo que el identificador circula en claro. El NIST escribe que es necesario que el operador configure su red con un esquema de protección no nulo, y recuerda que un informe del CSRIC, el órgano consultivo de la Federal Communications Commission, recomendaba ya en 2021 reservar el esquema nulo únicamente a las llamadas de emergencia realizadas por un terminal desconocido para la red.

Vale la pena dejar la formulación tal cual. La mejor protección disponible contra el seguimiento de terminales móviles existe en la norma técnica desde 2019. Depende de una opción de configuración dejada a discreción del operador. Una agencia federal estadounidense considera útil publicar un documento en 2026 para recordar que habría que activarla. Y ningún instrumento jurídico europeo la impone.

Hay que añadir que el SUCI no cierra el tema. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlazado que permiten volver a correlacionar sesiones pese al cifrado, y la protección cae por completo si el atacante fuerza al terminal a pasar a una generación anterior. Una obligación jurídica no lo resolvería todo, por tanto. Suprimiría en cambio una brecha que no tiene justificación defendible: la que separa lo que la norma permite de lo que hacen las redes comerciales.

Tres intervenciones coherentes

Si se toma en serio la idea de que la localización debe minimizarse desde el diseño en lugar de protegerse a posteriori, se imponen lógicamente tres medidas.

Hacer obligatorio el ocultamiento efectivo del identificador. Imponer la activación del SUCI y prohibir los esquemas de protección nulos en las redes comerciales, salvo el caso residual de las llamadas de emergencia. No se trata de prescribir una tecnología nueva ni de financiar un despliegue, sino de exigir la activación de una función normalizada desde hace siete años y ya presente en los equipos.
Tratar la conservación como la excepción, no como el valor por defecto. La posición necesaria para encaminar una comunicación debería borrarse en cuanto esa función se haya cumplido. La constitución de un historial debería requerir una justificación específica. Es la diferencia entre una red que sabe dónde está usted y una red que recuerda dónde ha estado.
Convertir la custodia de la clave en el criterio de vinculación pertinente. La ubicación de los servidores en la Unión no significa gran cosa si las claves que permiten hacer inteligibles los datos se encuentran en otro sitio. El criterio jurídicamente significativo debería ser el control efectivo de los medios de descifrado, cuestión que examinamos en detalle a propósito del conflicto entre el Data Act y la CLOUD Act.

El enfoque que sigue Arpokrat

Este razonamiento no es propio del derecho de las telecomunicaciones. Es el que aplicamos a nuestras propias decisiones de arquitectura, y cabe en una frase: lo que no se ha producido no necesita protección.

Por eso ArpokratOS retira el GPS, el Bluetooth y el NFC a nivel del núcleo en lugar de desactivarlos en un menú. Un interruptor es una política: puede ser eludido por un componente privilegiado, reactivado por una actualización, ignorado por un sistema comprometido. Retirar la ruta de código elimina la cuestión. Es la trasposición, a escala de un dispositivo, del mismo desplazamiento que reclamamos a escala del derecho: intervenir sobre la generación en vez de sobre el acceso.

Hay que decir de inmediato lo que eso no hace. Ningún sistema operativo sustrae un terminal a la geometría de la red. Mientras haya una tarjeta SIM activa, el operador conoce la celda de conexión, y encaminar todo el tráfico por Tor no cambia nada, puesto que protege el contenido y el destino, no la capa radio. Precisamente por eso el asunto es jurídico. Hay una categoría de riesgos que ninguna configuración individual reduce, y para la cual la única variable disponible es la norma aplicable al operador.

La misma preocupación gobierna el resto de nuestro trabajo. Un dato que no existe no puede ser requisado, ni revendido, ni exfiltrado, ni descifrado dentro de diez años por una máquina de la que hoy nadie dispone, cuestión que hemos tratado desde el ángulo del cifrado cosechado ahora y roto después.

Conclusión

El debate público sobre la vigilancia móvil se concentra casi exclusivamente en el acceso: quién puede consultar los datos, con qué fundamento, con qué autorización. Ese debate es legítimo, y las resoluciones dictadas desde 2014 por el Tribunal de Justicia han producido efectos tangibles. Pero llega demasiado tarde en la cadena.

La cuestión anterior, y más determinante, es saber si el historial debe existir. Una base constituida hoy por un motivo legítimo sigue disponible mañana para otro, y las garantías que la rodean dependen de decisiones políticas posteriores que nadie controla en el momento de la recogida. Es una apuesta sobre la estabilidad de las instituciones, formulada por una duración que nadie fija.

El 5G ha multiplicado la resolución de esa información sin que interviniera ninguna adaptación normativa. Al mismo tiempo ha demostrado, mediante el mecanismo del SUCI, que la vía practicable consiste en disociar la posición de la identidad en lugar de intentar cifrar una propiedad física de la red. La norma técnica dio la respuesta siete años antes de que el derecho formulara la pregunta.

El texto europeo sobre conservación de datos se está escribiendo ahora. Versará sobre los metadatos, es decir, sobre la localización, es decir, sobre lo que el 5G produce hoy con una finura que sus redactores no conocieron. Saber si se conformará con organizar el acceso a un historial dado por supuesto, o si se atreverá a interrogar la necesidad de ese historial, es probablemente la cuestión de privacidad más importante de los próximos años en Europa. Y es una cuestión que el sector técnico, por una vez, ya ha zanjado en el buen sentido.

Fuentes

Tribunal de Justicia de la Unión Europea, Digital Rights Ireland, asuntos acumulados C-293/12 y C-594/12, 8 de abril de 2014
Tribunal de Justicia de la Unión Europea, Tele2 Sverige y Watson, asuntos acumulados C-203/15 y C-698/15, Gran Sala, 21 de diciembre de 2016
Tribunal de Justicia de la Unión Europea, La Quadrature du Net y otros, asuntos acumulados C-511/18, C-512/18 y C-520/18, Gran Sala, 6 de octubre de 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzo de 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

La geolocalización permanente: cómo tu teléfono te sigue incluso cuando crees haberlo impedido

Sun, 02 Aug 2026 00:00:00 +0000

En 2024, dos investigadores de la Universidad de Maryland consultaron de forma repetida el servicio de posicionamiento Wi-Fi de Apple, sin privilegios especiales ni material específico, y reconstruyeron en un año la posición precisa de más de dos mil millones de puntos de acceso Wi-Fi en todo el mundo. Su artículo, Surveilling the Masses with Wi-Fi-Based Positioning Systems, muestra lo que permite ese mapa: seguir material que entra y sale de Ucrania, observar el desplazamiento de la población tras los incendios de Maui, rastrear a una persona a través de su router doméstico.

Ninguno de esos dispositivos tenía el GPS activado. La posición venía de otro sitio.

Es el punto ciego más extendido en materia de privacidad móvil: la convicción de que existe un interruptor de localización y de que, una vez apagado, el teléfono deja de saber dónde está. Esa convicción es falsa en siete niveles distintos.

La localización no es una función que tu teléfono activa. Es una propiedad de lo que el teléfono es.

El GPS, el vector menos problemático

El único mecanismo que todo el mundo identifica es también el que menos debería preocuparte.

El GNSS, término genérico que agrupa el GPS estadounidense, Galileo, GLONASS y BeiDou, funciona escuchando. Los satélites emiten de forma continua señales con marca de tiempo, el receptor capta varias y calcula su posición a partir de las diferencias de tiempo de propagación. Precisión habitual en exteriores despejados: de tres a cinco metros, a menudo varias decenas de metros en ciudad, donde las fachadas reflejan las señales.

El punto decisivo es que ese cálculo es pasivo. El teléfono no emite nada hacia los satélites, ningún operador satelital sabe que existes. Si el GNSS fuera lo único en juego, apagar el GPS bastaría.

Existe, sin embargo, un matiz. Para acelerar el primer cálculo, los teléfonos usan A-GPS: descargan las efemérides satelitales desde un servidor, mediante el protocolo SUPL. Para obtener los datos correctos, el teléfono transmite a ese servidor el identificador de la celda de red a la que está conectado. El GNSS puro no te delata, pero el acelerador que le han injertado sí.

La red móvil: lo que el operador sabe por construcción

Para que una llamada pueda llegarte, la red debe saber en qué zona estás. No es una opción activable, es la condición de existencia del servicio. Tu teléfono se anuncia permanentemente a la antena más cercana, y ese registro deja rastro del lado del operador. Ninguna aplicación instalada, ningún permiso concedido: basta con una tarjeta SIM activa.

La precisión depende del método:

Identificador de celda solo: de 200 metros en zona urbana densa a más de 30 kilómetros en zona rural, donde una antena cubre un radio muy amplio.
Cell ID enriquecido, que añade el sector de antena (la mayoría de los emplazamientos se dividen en tres sectores de 120 grados) y la potencia de la señal: de 100 metros a algunos kilómetros.
Timing advance, que mide el retardo de ida y vuelta entre el teléfono y la antena: del orden de 550 metros en GSM, unos 78 metros en LTE.
Multilateración sobre tres antenas o más: de 50 a 300 metros en LTE urbano.

El 5G cambia la escala por dos razones acumulativas. La densidad, primero: las celdas 5G cubren radios mucho más cortos, de modo que la simple conexión ya es una información fina. La normalización, después: desde la Release 16, el 3GPP integra señales de posicionamiento nativas. Los objetivos comerciales apuntan a menos de 3 metros en interiores y menos de 10 metros en exteriores para el 80 % de los terminales, y la Release 18 baja al centímetro para ciertos usos industriales.

La infraestructura que te conecta se convierte por tanto en un sistema de posicionamiento de calidad comparable al GPS, sin que hayas activado nada. Ese dato se conserva según normas nacionales y resulta accesible a las autoridades mediante procedimientos variables. Es el mismo debate de fondo que el tratado a propósito de la jurisdicción aplicable a los datos alojados: protección técnica y protección jurídica no se solapan.

El Wi-Fi: un mapa del mundo hecho de direcciones de hardware

Cada punto de acceso Wi-Fi difunde permanentemente un identificador de hardware único, el BSSID. Esos identificadores son fijos y geográficamente estables: un router doméstico permanece años en el mismo sitio.

Apple, Google y algunos actores especializados mantienen bases que asocian cada BSSID a unas coordenadas, construidas por los teléfonos de sus propios usuarios, que remiten la lista de puntos visibles junto con una posición GNSS. La operación se invierte después: un teléfono que ve cuatro puntos conocidos ya no necesita ni un solo satélite. En zona urbana densa, la precisión alcanza habitualmente algunas decenas de metros, y baja por debajo en interiores.

Dos propiedades hacen que este mecanismo sea difícil de neutralizar. Primero, el teléfono escanea incluso cuando el Wi-Fi parece desactivado: desde Android 4.3, el sistema mantiene un barrido periódico destinado a mejorar la localización, con independencia del interruptor del panel rápido. Ese comportamiento depende de un ajuste distinto, enterrado en los servicios de localización, que la práctica totalidad de los usuarios jamás ha abierto.

Segundo, la base se puede consultar desde fuera. Es la brecha que explotaron Rye y Levin: las interfaces de posicionamiento devuelven no solo la posición solicitada sino también la de puntos de acceso vecinos, lo que permite cosechar el mapa sin acercarse físicamente jamás a los lugares.

Bluetooth y BLE: localizado por los teléfonos de los demás

El Bluetooth Low Energy añade una capa de proximidad, con un alcance de unos pocos metros a algunas decenas de metros, es decir, de una granularidad mucho más fina que la red móvil. Coexisten dos usos. Las balizas comerciales, desplegadas en tiendas, aeropuertos o centros comerciales, emiten un identificador que reconocen las aplicaciones presentes en el teléfono, lo que revela ante qué estante te detuviste y durante cuánto tiempo. Y las redes de localización colaborativas, cuyo modelo es Find My de Apple, replicado después por Google y Samsung.

Este segundo mecanismo invierte una hipótesis implícita. El análisis de referencia, Who Can Find My Devices?, publicado en las actas de PETS 2021 por investigadores de la Universidad Técnica de Darmstadt, reconstruyó el protocolo de Apple mediante ingeniería inversa. Un dispositivo sin conexión emite una señal BLE, cualquier dispositivo Apple cercano la capta, le añade su propia posición y la transmite cifrada a los servidores de Apple, sin que lo sepa ni su portador ni el portador del dispositivo localizado.

La consecuencia es estructural: un dispositivo sin tarjeta SIM, sin Wi-Fi, sin conexión de red de ningún tipo sigue siendo localizable, siempre que un desconocido pase cerca con un teléfono en el bolsillo. Tu aislamiento ya no depende de tus ajustes, sino de los de los transeúntes.

Los sensores inerciales: localizar sin permiso de localización

Un teléfono contiene un acelerómetro, un giroscopio, un magnetómetro y a menudo un barómetro. Esos sensores pertenecen a una categoría de permisos distinta de la localización: una aplicación puede leerlos sin haber preguntado jamás dónde estás.

Investigadores de Princeton lo demostraron con PinMe. Su aplicación parte de la dirección IP y de la zona horaria para una posición aproximada, y luego lee los sensores: el acelerómetro da el perfil de aceleración y frenado, el giroscopio la secuencia de giros, el magnetómetro el rumbo, el barómetro las variaciones de altitud. Una red neuronal identifica el modo de transporte, a pie, coche, tren o avión, y el trayecto se ajusta sobre datos públicos de cartografía, altimetría y meteorología. Resultado: una trayectoria de una precisión comparable al GPS, sin permiso de localización. El método tiene límites, que los autores documentan, ya que falla en zonas sin carreteras y se degrada en trazados en cuadrícula uniforme, donde numerosos recorridos producen la misma firma. Sigue siendo la demostración de que un permiso denegado no es una puerta cerrada.

El barómetro aporta además la dimensión que el GNSS gestiona mal, la vertical. Las exigencias estadounidenses para las llamadas de emergencia imponen una precisión de planta de más o menos 3 metros para el 80 % de las llamadas en interiores. Saber en qué planta se encuentra alguien es de otra naturaleza que saber en qué manzana está.

El mercado del dato: el vector más banal

Los mecanismos anteriores describen cómo se calcula una posición. Queda saber adónde va, y ahí se juega lo esencial del riesgo cotidiano.

Miles de aplicaciones integran SDK publicitarios, componentes de software suministrados por terceros que un desarrollador añade para monetizar su trabajo o medir su audiencia. Esos componentes heredan los permisos de la aplicación anfitriona: una aplicación meteorológica que legítimamente necesita tu posición la transmite a actores cuyo nombre nunca has leído. A eso se suman los flujos de pujas publicitarias, donde tu posición aproximada se difunde a decenas de compradores potenciales cada vez que se muestra un banner, incluidos los que no compran nada y se limitan a escuchar.

Esa materia prima alimenta una industria. La Electronic Frontier Foundation documentó el caso de Fog Data Science, que reivindicaba miles de millones de puntos de datos sobre más de 250 millones de dispositivos, vendidos a policías locales estadounidenses. Brian Krebs describió Locate X, un producto que permite trazar un polígono sobre un mapa y visualizar el historial de los dispositivos que entraron y salieron de esa zona.

Este vector no exige proeza técnica alguna, solo que alguien acepte pagar. El precio es modesto.

Los IMSI catchers: la localización activa

Los mecanismos vistos hasta aquí explotan un funcionamiento normal. Existe también una localización activa, llevada a cabo por un tercero que interviene sobre la red.

Un IMSI catcher, o simulador de celda, es un equipo que se hace pasar por una antena legítima. Los teléfonos al alcance se conectan a él, revelando su identificador de abonado y su presencia en un perímetro restringido.

El 5G debía cerrar esa puerta sustituyendo el identificador permanente en claro por uno cifrado, el SUCI. El cierre es parcial. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlace que permiten volver a correlacionar sesiones pese al cifrado. Sobre todo, la protección cae por completo si el atacante fuerza al terminal a replegarse hacia una generación anterior, el 2G en particular, cuya autenticación es unilateral. Un teléfono 5G sigue siendo vulnerable a un ataque concebido para una red de los años noventa, porque todavía acepta descender hasta ella.

Las contramedidas y su eficacia real

Cada medida siguiente hace algo. Ninguna lo hace todo, y la distancia entre lo que hacen y lo que se les atribuye produce las malas decisiones.

El modo avión

El modo avión corta la emisión del módem celular, del Wi-Fi y del Bluetooth. Es real, y es el mejor resultado para un esfuerzo tan bajo.

Lo que no hace: no detiene los sensores inerciales, no elimina las posiciones ya almacenadas en caché, que partirán al reconectarse, y permite en la mayoría de los dispositivos reactivar el Wi-Fi o el Bluetooth por separado sin salir de él. Es, en fin, un estado de software, no un corte de alimentación: su fiabilidad depende de la integridad del sistema que lo aplica.

Un detalle subestimado: el desenganche y el reenganche a la red son en sí mismos acontecimientos con marca de tiempo del lado del operador. Un teléfono que desaparece a las 21 h en una celda y reaparece a las 23 h en otra ha producido una información, no un silencio.

La aleatorización de la dirección MAC

Los sistemas móviles emiten hoy direcciones MAC aleatorias durante los barridos, para impedir el seguimiento de un lugar a otro. La intención es buena, el resultado incompleto. Los trabajos de referencia, entre ellos Why MAC Address Randomization is not Enough, muestran que el contenido de las tramas de descubrimiento suele bastar para reidentificar el dispositivo: el número de elementos de información, sus valores y su orden forman una huella. A ello se añaden los números de secuencia, incrementales y por tanto encadenables, y la firma temporal propia de cada modelo. Algunos estudios informan de un seguimiento correcto de la mitad de los dispositivos durante al menos veinte minutos.

Límite conceptual, por último: la aleatorización solo afecta a la fase de descubrimiento. En cuanto te conectas a una red, la dirección utilizada es estable para esa red, por diseño, para que la conexión funcione. La cafetería a la que vas cada mañana te reconoce.

Cortar de verdad los escaneos

Es el ajuste más rentable y el más ignorado. En Android, la búsqueda Wi-Fi y la búsqueda Bluetooth son dos opciones distintas, situadas en los servicios de localización, independientes de los interruptores del panel rápido. Mientras estén activas, apagar el Wi-Fi desde el panel no basta: el barrido continúa.

Desactivarlas elimina una capa entera de recolección, sin más coste que un primer cálculo de posición algo más lento. Para la mayoría de los lectores, es la mejor relación entre el esfuerzo invertido y el resultado obtenido.

Los permisos de las aplicaciones

Revocar el permiso de localización a las aplicaciones que manifiestamente no lo necesitan sigue siendo útil, y los sistemas recientes ofrecen tres graduaciones: la autorización puntual, la autorización limitada al uso activo y la localización aproximada, que solo transmite una zona del orden del kilómetro.

Eso no protege, en cambio, ni de los SDK alojados en una aplicación que tenga una razón legítima para acceder a tu posición, ni de los sensores inerciales, ni de las capas de red, que no pasan por permiso alguno.

Lo que la VPN no protege

Punto que conviene aclarar, porque la creencia contraria está muy extendida: una VPN no oculta tu posición. Oculta tu dirección IP pública, de modo que falsea la geolocalización por IP, que es de todas formas el mecanismo más grosero de la lista.

Una VPN no toca ni el receptor GNSS, ni el barrido Wi-Fi, ni el Bluetooth, ni los sensores. No cambia nada de lo que sabe tu operador, puesto que el túnel cifrado transita por sus antenas y la conexión a la celda le sigue siendo visible. No impide que una aplicación con permiso de localización transmita coordenadas exactas dentro del túnel. La VPN protege el contenido y el destino de tus comunicaciones en una red no fiable, y eso ya es mucho. La localización no está en su perímetro.

Los límites físicos

Una funda de Faraday funciona en sentido literal: bloquea emisiones y recepciones. La retirada de la batería también, cuando todavía es posible. El dispositivo dedicado, o dejar el teléfono en otra parte, sigue siendo la medida más robusta.

Estas soluciones comparten un defecto que hay que mirar de frente: producen una anomalía. Un teléfono que calla dos horas cada martes por la noche dice algo. Frente a un adversario que analiza pautas en lugar de posiciones instantáneas, la ausencia es un dato.

Tres adversarios, tres estrategias

Es la distinción más importante de este artículo, y la que menos se lee.

Frente a un anunciante o un intermediario de datos, el combate es ganable. Disciplina de permisos, desactivación de los barridos, sistema sin servicios de localización propietarios, restablecimiento del identificador publicitario: el conjunto reduce muy notablemente el volumen recogido. Ese adversario busca volumen a bajo coste, no tu caso particular.

Frente a tu operador, ninguna configuración basta. La localización celular es la condición del servicio. Las únicas variables reales son jurídicas, lo que la ley autoriza a conservar y a transmitir, y materiales: qué dispositivo, qué tarjeta SIM, a qué nombre, encendido dónde.

Frente a un adversario estatal dirigido, el razonamiento cambia de nuevo, ya que combina el acceso legal a los datos del operador, la localización activa mediante simulador de celda, el requerimiento a las plataformas y, en su caso, el compromiso del terminal. Las contramedidas de software reducen la superficie, pero el objetivo realista no es la desaparición: es saber con precisión qué sigue expuesto.

El enfoque de ArpokratOS

ArpokratOS responde a este panorama con una elección que se desprende de la distinción anterior: lo que debe neutralizarse se neutraliza a nivel de sistema, no en un menú.

En el GNSS, el controlador de hardware se retira. El dispositivo se comporta como si el chip no existiera, tanto para las aplicaciones como para el propio sistema. La diferencia con un interruptor de ajustes no es cosmética. Un interruptor es una política: lo aplica una capa que puede ser eludida por un componente suficientemente privilegiado, reactivada por una actualización o ignorada por un sistema comprometido. Retirar la ruta de código suprime la cuestión, ya que no queda nada que activar.

El Bluetooth se trata a nivel Core, con la misma lógica. Un Bluetooth desactivado en los ajustes deja en la práctica la pila de software viva en muchos dispositivos, para alimentar los servicios de proximidad y las redes de localización colaborativas. Ausente a nivel de sistema, no puede dialogar con una baliza de tienda, ni participar en una red de tipo Find My, ni servir de superficie de ataque sin interacción.

Hay que decir claramente lo que esto no hace. ArpokratOS no vuelve indetectable a un teléfono. Mientras una tarjeta SIM esté activa, el operador conoce la celda de conexión, y ningún sistema operativo cambia eso, ni siquiera con la totalidad del tráfico encaminada por Tor. El enrutamiento protege el contenido y el destino, no la geometría radio. Quien promete la invisibilidad vende una historia.

Lo que una arquitectura así aporta es más modesto: la supresión de las capas aplicativas y de proximidad, por las que pasa la inmensa mayoría de la recolección real, y un modelo de amenaza explícito sobre lo que subsiste. Es el razonamiento aplicado a la elección de un sistema de escritorio, detallado en nuestro comparativo de sistemas operativos: la pregunta útil no es si una herramienta protege, sino de qué protege y a qué precio.

Conclusión

Este artículo no proporciona un método para desaparecer. Ese método no existe, y los textos que pretenden lo contrario producen sobre todo falsa confianza, más peligrosa que la ausencia de protección porque lleva a asumir riesgos.

El objetivo era sustituir una pregunta binaria, ¿soy localizable o no?, por una pregunta útil: por quién, con qué precisión, a qué coste para ellos y si eso me importa. La respuesta difiere para un periodista que protege una fuente, un directivo de viaje en una jurisdicción delicada, un abogado cuyas citas revelan una estrategia o un particular molesto porque un anunciante conozca sus costumbres.

Lo que debería retener la atención no es, por cierto, el rendimiento de cada uno de esos mecanismos tomado por separado, sino el hecho de que se solapan. Una posición con cincuenta metros de margen no es muy interesante. Una posición con cincuenta metros de margen, cada cuarto de hora, durante dos años, dibuja un domicilio, un lugar de trabajo, una confesión religiosa, un estado de salud, una relación, una fuente. El dato de localización es el metadato que hace legibles a todos los demás, y por eso vale caro.

Fuentes

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Filipinas prohíbe Monero y Zcash en plataformas reguladas: la señal de una tendencia mundial

Wed, 17 Jun 2026 00:00:00 +0000

El banco central de Filipinas acaba de asestar un duro golpe a las criptomonedas con privacidad reforzada. Bajo el pretexto de cumplimiento con los estándares internacionales de lucha contra el blanqueo de capitales, la decisión ilustra una dinámica regulatoria que va mucho más allá de este único país, y que debería alertar a cualquiera que posea o utilice activos como Monero o Zcash.

Lo que dice el memorándum

El Bangko Sentral ng Pilipinas (BSP), banco central del país, ha aprobado el Memorándum M-2026-023, firmado por la subgobernadora Lyn Javier. El texto ordena a todos los proveedores de servicios de activos virtuales (VASP) titulares de licencia que dejen de listar y dar soporte a los «activos virtuales de carácter anonimizador». El memorándum no cita ningún token por su nombre, pero la categoría visada cubre sin ambigüedad a Monero, Zcash y Dash — las criptomonedas diseñadas para hacer que el rastreo de transacciones sea difícil o imposible.

La medida entró en vigor de inmediato, sin período de transición. Más allá de la simple retirada de estos activos de las plataformas, los VASP deben ahora evaluar cada token listado según seis pilares de cumplimiento: credibilidad del emisor, madurez del mercado, casos de uso, transparencia y seguridad, liquidez y reservas, y conformidad legal. También deben definir umbrales internos que activen automáticamente la retirada de cotización cuando un activo deje de satisfacer estos criterios.

Lo que cambia concretamente

El memorándum no criminaliza la tenencia privada de Monero o Zcash, ni las transferencias entre pares realizadas fuera de las plataformas reguladas. Lo que desaparece es el acceso institucional: las rampas de entrada y salida reguladas (compra, venta, depósito, retiro en una plataforma con licencia) ya no podrán procesar estos activos.

En la práctica, si usted tenía privacy coins en una plataforma filipina sujeta a licencia BSP — entre las que se encuentran Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank o UnionBank — deberá transferirlos a una cartera personal o convertirlos antes de que la plataforma se vea obligada a retirarlos.

Con más de 16 millones de usuarios de criptomonedas en el país, el impacto se sentirá a gran escala en el mercado doméstico, aunque el efecto sobre el precio mundial del XMR o del ZEC debería seguir siendo limitado — ya que Filipinas representa solo una fracción marginal de la liquidez global de estos activos.

La alineación con el FATF, justificación universal

El BSP justifica su decisión mediante una alineación explícita con los estándares del GAFI (FATF), el organismo internacional que define las normas de lucha contra el blanqueo de capitales y la financiación del terrorismo. Mantenerse en buenos términos con el FATF no es opcional para la mayoría de los bancos centrales — una mala clasificación puede afectar el acceso de todo un país a los circuitos financieros internacionales.

Esta es exactamente la misma justificación que ya ha llevado a la Unión Europea, Japón y Corea del Sur a excluir progresivamente las privacy coins de sus plataformas reguladas en los últimos años. La decisión filipina no es, por tanto, un caso aislado: es la confirmación de un estándar de facto que se generaliza — si una jurisdicción quiere operar un mercado crypto reconocido internacionalmente, los activos con privacidad reforzada ya no tienen cabida en él.

Una tensión que nadie resuelve realmente

Es revelador que incluso los actores que apoyan la decisión reconocen la legitimidad del uso que esta pretende restringir. El responsable de crypto de GCash, una de las mayores fintechs del país, reconoció explícitamente que Monero y Zcash «existen por razones legítimas» y que la privacidad constituye «un valor fundacional de la crypto: la capacidad de transaccionar sin vigilancia». Sin embargo, apoyó la medida, considerando que Filipinas — país con una fuerte dependencia de los flujos de remesas — no podía posicionarse como infraestructura financiera de confianza al mismo tiempo que permitía la libre circulación de activos anonimizadores.

Esta tensión no está resuelta; simplemente se ha zanjado a favor de la óptica regulatoria: los volúmenes de remesas y la credibilidad internacional pesan más que el argumento de la privacidad legítima, cada vez que se plantea el arbitraje.

La consecuencia lógica: la migración hacia la autocustodia

El patrón que se repite de una jurisdicción a otra es ya claramente legible. El esquema es casi siempre idéntico: la privacidad financiera sigue siendo legal a nivel individual, pero se vuelve progresivamente imposible de ejercer a través de los circuitos institucionales. La autocustodia (self-custody) aún no está en el punto de mira — pero cada nueva jurisdicción que sigue este modelo reduce un poco más el espacio en el que estos activos pueden circular sin bloqueo regulatorio.

Detallamos en profundidad el funcionamiento técnico de estas blockchains y las razones por las que se han convertido en un objetivo privilegiado de los reguladores en nuestra guía completa sobre blockchains anónimas — ring signatures, zk-SNARKs, y los límites reales de estas tecnologías.

Intercambiar fuera de los circuitos que se cierran

A medida que las plataformas reguladas se retiran del mercado de las privacy coins una tras otra, el papel de las infraestructuras no custodiales y sin recopilación de datos se vuelve central para quienes desean seguir utilizando estos activos sin depender de un VASP sometido a una jurisdicción que puede cambiar su política de un día para otro.

Arpokrat Swap permite intercambiar Monero, Zcash y el conjunto de criptomonedas con privacidad reforzada sin registro, sin recopilación de registros de IP y sin cookies — tanto si accede a la plataforma a través de clearnet como mediante nuestra dirección .onion. Ninguna jurisdicción puede retirar lo que nunca recopilamos.

Esta decisión filipina probablemente no será la última de su tipo este año. La pregunta ya no es si otros países seguirán el mismo camino — el historial reciente sugiere que sí — sino cuánto tiempo queda antes de que el acceso institucional a las privacy coins se convierta en la excepción más que en la norma.

¿El fin de la privacidad? Puertas traseras, la Online Safety Act y la respuesta de los ecosistemas soberanos

Wed, 10 Jun 2026 00:00:00 +0000

Londres se ha convertido en el epicentro de una batalla mundial por el futuro de la privacidad digital. Con la adopción de la Online Safety Act 2023 (OSA) y las recientes propuestas de revisión de la Investigatory Powers Act (IPA) — apodada la “Carta de los espías” por sus detractores —, el gobierno británico se arroga el derecho de imponer obligaciones de vigilancia en el corazón mismo de las comunicaciones privadas. El punto de ruptura es el poder conferido al regulador OFCOM para exigir que las plataformas desplieguen “tecnología acreditada” para detectar contenidos de abuso sexual infantil (CSEA) o terrorismo, incluso dentro de las comunicaciones cifradas de extremo a extremo.

Para las grandes plataformas digitales, el mensaje de Westminster es inequívoco: o facilitan el acceso estatal a sus infraestructuras, o se exponen a multas de hasta el 10 % de sus ingresos mundiales. La respuesta fue inmediata: servicios como Signal y WhatsApp amenazaron públicamente con retirarse del mercado británico, negándose a comprometer la seguridad de sus usuarios para satisfacer a una sola jurisdicción. El argumento técnico es difícilmente cuestionable: no existe una llave maestra reservada únicamente para los actores legítimos. Una puerta abierta para las fuerzas del orden es, por diseño, una puerta abierta para los ciberdelincuentes y los servicios de inteligencia extranjeros.

El modelo de negocio de las grandes plataformas: un obstáculo estructural para el Zero-Knowledge

La resistencia de las grandes plataformas a la adopción del cifrado de tipo Zero-Knowledge no se explica por una incapacidad técnica, sino por una incompatibilidad económica fundamental. Empresas como Alphabet y Meta se basan en modelos de monetización fundamentados en la recopilación sistemática de datos de comportamiento. Este modelo es, además, reconocido implícitamente por la Ley de Mercados Digitales (DMA) de la Unión Europea, que califica a estos “guardianes de acceso” (gatekeepers) como entidades cuya posición dominante se alimenta precisamente de la acumulación de datos a una escala sin parangón. Para estos actores, adoptar una arquitectura Zero-Knowledge equivaldría a privar a sus sistemas publicitarios de la identificación continua de los usuarios que constituye su combustible. Por lo tanto, no se trata de una opción técnica, sino de una compensación entre la privacidad de los usuarios y la viabilidad de su modelo de negocio.

El riesgo estratégico: la amenaza “Harvest Now, Decrypt Later”

Más allá del debate sobre la privacidad, el debilitamiento del cifrado plantea una cuestión de seguridad nacional de un alcance completamente diferente. La estrategia conocida como Harvest Now, Decrypt Later (HNDL) consiste, para los adversarios estatales, en interceptar y almacenar hoy volúmenes masivos de comunicaciones cifradas, a la espera de futuras capacidades de descifrado cuántico. Al debilitar los estándares de cifrado actuales, el marco legislativo británico facilita objetivamente este tipo de operaciones contra las comunicaciones gubernamentales, diplomáticas o industriales.

Es precisamente en este contexto de déficit de confianza que ecosistemas como el de Arpokrat adquieren relevancia operativa. Al operar bajo el régimen de la Ley Federal de Protección de Datos (FADP) suiza, con una arquitectura que no recopila ningún identificador civil, Arpokrat ofrece una ruptura técnica con las infraestructuras sujetas a la jurisdicción británica — garantizando que el sistema permanezca inaudible ante los mandatos previstos por la OSA.

El conflicto de normas: OSA e IPA contra el derecho europeo

El análisis jurídico de las nuevas prerrogativas estatales británicas revela un choque directo con los fundamentos del derecho europeo en materia de protección de datos y confidencialidad de las comunicaciones.

OSA contra la prohibición de la vigilancia generalizada

El artículo 121 de la OSA introduce la posibilidad de que OFCOM emita órdenes que obliguen a las plataformas a implementar un escaneo del lado del cliente (client-side scanning). Esta medida contraviene frontalmente el principio, derivado del derecho europeo e incluido en la jurisprudencia del TJUE, que prohíbe las obligaciones de vigilancia general. Al imponer una “vulnerabilidad por diseño”, también sitúa a las empresas en una situación de doble vínculo: al debilitar su seguridad para cumplir con un mandato estatal, incumplen su obligación de garantizar un nivel de seguridad adecuado al tratamiento, consagrada por el artículo 32 del RGPD.

La Directiva ePrivacy y la confidencialidad de las comunicaciones

El escaneo de mensajes privados entra en contradicción directa con el artículo 5, apartado 1, de la Directiva 2002/58/CE (ePrivacy), que obliga a los Estados miembros a garantizar la confidencialidad de las comunicaciones electrónicas y prohíbe cualquier forma de interceptación o vigilancia sin el consentimiento explícito de los usuarios afectados.

Los Technical Capability Notices y el bloqueo de actualizaciones de seguridad

Bajo el régimen de la IPA 2016, el gobierno británico pretende ahora utilizar los Technical Capability Notices (TCN) para oponerse a las actualizaciones de seguridad antes de su implementación. Este mecanismo crea un conflicto irresoluble con la obligación, establecida por el artículo 32 del RGPD, de garantizar de forma continua la seguridad de los sistemas de tratamiento — una obligación que exige precisamente la capacidad de aplicar parches sin demora ni interferencias externas.

Riesgos de cumplimiento para las empresas que operan en Europa

Las revisiones de la IPA tienen como objetivo obligar a las empresas a notificar al gobierno británico de cualquier modificación técnica que afecte a la seguridad, antes de su implementación, otorgándole así un derecho de veto sobre la evolución de los productos. Esta injerencia crea una considerable inseguridad jurídica para los proveedores que operan en el mercado europeo: la adecuación británica al derecho europeo — ya frágil — podría ponerse en duda si el Reino Unido ya no garantiza una protección sustancialmente equivalente a la del RGPD. Por lo tanto, las transferencias de datos al Reino Unido bajo este nuevo marco probablemente expondrían a las empresas a sanciones en virtud del RGPD.

La defensa por la imposibilidad técnica: el principio Zero-Knowledge como escudo jurídico

La jurisprudencia internacional, consolidada por las sentencias Schrems I y Schrems II del TJUE, ha establecido un principio determinante: la única salvaguarda sólida contra una vigilancia desproporcionada es la imposibilidad técnica de acceder a ella. Las arquitecturas Zero-Knowledge aplican este principio en tres capas de protección:

Ausencia de custodia: al no poseer la plataforma las claves de descifrado, cualquier orden de escaneo de mensajes es técnicamente inoperante;
Soberanía del sistema operativo: el control de ArpokratOS elimina la telemetría que alimenta la recopilación de inteligencia a nivel del dispositivo;
Anclaje jurisdiccional suizo: al alojar su infraestructura en Suiza, Arpokrat opera bajo un régimen legal que exige solicitudes de asistencia judicial internacional individualizadas y motivadas, neutralizando la ejecución automatizada de los escaneos masivos previstos por la OSA.

Conclusión

Las disposiciones de la OSA y las revisiones de la IPA no constituyen únicamente una amenaza para la privacidad de las personas: representan una ruptura de la seguridad jurídica para todos los datos europeos que transitan por infraestructuras sujetas a la jurisdicción británica. Al legitimar el debilitamiento del cifrado en nombre de la seguridad pública, Londres expone paradójicamente a sus aliados y socios comerciales a riesgos de espionaje industrial y estatal que las arquitecturas Zero-Knowledge están diseñadas precisamente para prevenir.

La integridad de las comunicaciones profesionales e institucionales exige ahora una respuesta estructural: la migración hacia ecosistemas descentralizados que garanticen la soberanía digital, desde el nivel del código hasta el anclaje jurisdiccional.

El silencio que grita: ¿Qué es un Warrant Canary y por qué debería preocuparle su desaparición?

Mon, 01 Jun 2026 00:00:00 +0000

En el fondo de las minas de carbón del siglo XIX, los mineros llevaban consigo canarios enjaulados. Estos pequeños pájaros, extremadamente sensibles a los gases tóxicos como el monóxido de carbono, sucumbían mucho antes de que los mineros percibieran el peligro. Servían así como un sistema de alerta temprana silencioso, pero redobladamente eficaz.

En nuestro mundo digital moderno, este pájaro ha vuelto a la vida en forma de « Warrant Canary » (Canario de garantía o de orden judicial).

¿Qué es un Warrant Canary?

Se trata de una declaración pública, publicada y actualizada regularmente por un proveedor de servicios (mensajería, VPN, alojamiento web), afirmando que, hasta esa fecha exacta, no ha recibido ninguna solicitud legal secreta que le obligue a comprometer los datos de sus usuarios — tales como una National Security Letter (NSL) estadounidense o una orden emitida por un tribunal FISA.

Toda la sutileza — y la gravedad — del canario reside en lo que ocurre cuando desaparece.

Si un servicio que mostraba cada mes la mención “No hemos recibido ninguna orden secreta” deja de actualizarla repentinamente, el usuario advertido deduce la evidencia: el canario ha muerto.

La empresa ha sido objeto de una medida de vigilancia acompañada de una orden de mordaza (gag order), prohibiéndole legalmente revelar la existencia de esta solicitud. Al no poder decir que ha sido comprometida, simplemente deja de decir que no lo está.

La era de la vigilancia invisible y cómo burlar el silencio

En una época en la que legislaciones extraterritoriales como el CLOUD Act y la FISA (Ley de Vigilancia de la Inteligencia Extranjera) permiten al gobierno estadounidense acceder a los datos alojados por empresas sin informar jamás a los objetivos, el Warrant Canary constituye uno de los raros mecanismos para eludir este silencio forzado.

Con el CLOUD Act, la barrera geográfica ya no existe: si los datos están bajo el “control” de una empresa estadounidense, el gobierno de los Estados Unidos reclama el derecho a acceder a ellos, incluso si esos servidores están situados físicamente en Europa. El canario se convierte entonces en la última señal de alarma antes de que la soberanía digital de un usuario sea sacrificada silenciosamente.

Es por ello que los principales actores de la esfera Privacy han adoptado esta herramienta como estándar de transparencia:

Proton: El servicio suizo de correo y mensajería publica un informe de transparencia que incluye un Warrant Canary estricto.
Riseup: El colectivo de comunicación segura para activistas mantiene uno de los canarios más célebres y vigilados de la web.
Arpokrat: Nuestro propio ecosistema mantiene un Warrant Canary público, actualizado criptográficamente, para garantizar una transparencia absoluta a nuestra comunidad.

El análisis jurídico: El derecho a no mentir

La existencia misma del Warrant Canary reposa sobre uno de los pilares más fascinantes del derecho constitucional: la doctrina del compelled speech (discurso forzado) y su colisión con el secreto sumarial.

La base jurídica reposa sobre un principio simple: si el Estado tiene el poder de imponerle el silencio (vía una orden de mordaza), no tiene el poder constitucional de obligarle a mentir.

En virtud de la Primera Enmienda de la Constitución de los Estados Unidos (y de principios análogos en Europa), el gobierno no puede obligar a una empresa a producir una declaración fácticamente falsa. Así, cuando una empresa suprime su canario, no viola la orden de silencio — puesto que no anuncia explícitamente haber recibido una orden judicial. Ejerce simplemente su derecho fundamental de dejar de hacer una declaración que ya no es cierta.

El conflicto con el derecho europeo

La pertinencia del canario se ve hoy reforzada por el artículo 32 de la Ley de Datos (Reglamento UE 2023/2854). Esta disposición impone a los proveedores la implementación de medidas técnicas y jurídicas para impedir el acceso a los datos por parte de autoridades de terceros países cuando esto contradiga el derecho europeo. La muerte de un canario señala inmediatamente este conflicto de leyes: el proveedor probablemente está siendo obligado a eludir las garantías europeas para satisfacer una orden extranjera.

El enfoque de Arpokrat: La soberanía por diseño

En el ecosistema de Arpokrat, operando bajo la jurisdicción de la FADP suiza (Ley Federal de Protección de Datos - RS 235.1), el canario reviste una dimensión aún más poderosa. Se inscribe en un enfoque holístico de soberanía digital: el Zero-Knowledge (Conocimiento Cero).

La arquitectura está diseñada de tal manera que la empresa crea una imposibilidad técnica y matemática de obedecer un mandato. El Estado o una agencia de inteligencia puede emitir todas las órdenes que desee, la respuesta seguirá siendo la misma: no hay claves privadas, ni identidades (Zero-ID), ni metadatos centralizados que entregar.

En este contexto, el canario ya no es solo una alerta de compromiso; es la prueba pública continua de que la infraestructura ha permanecido técnicamente inviolable y fiel a sus principios.

Conclusión

En definitiva, el Warrant Canary es la pieza de agilidad jurídica que viene a complementar la agilidad criptográfica necesaria para afrontar el horizonte de las amenazas modernas (como la informática post-cuántica). En una infraestructura donde los datos son soberanos por diseño, el canario no es un simple pájaro en una mina: es el guardián silencioso de su fortaleza digital.

Utiq: El nuevo 'súper cookie' de las operadoras que amenaza tu privacidad

Mon, 01 Jun 2026 00:00:00 +0000

El fin programado de las cookies de terceros en los navegadores web ha desencadenado una verdadera carrera armamentística en la industria de la publicidad dirigida. Mientras que Google intenta imponer sus propios estándares (como la Privacy Sandbox), otro actor inesperado ha decidido apoderarse de un trozo del pastel: tu Proveedor de Servicios de Internet (ISP).

Así nació Utiq (anteriormente conocido como proyecto TrustPid), una empresa conjunta fundada por los gigantes europeos de las telecomunicaciones. Vendido al público en general como una solución “transparente y respetuosa”, Utiq es en realidad lo que más temen los expertos en ciberseguridad: un “supercookie” que funciona a nivel de red.

¿Qué es Utiq y cómo funciona?

Tradicionalmente, el rastreo publicitario (las cookies) es gestionado por tu navegador web (Chrome, Firefox, Safari). Podías bloquearlo utilizando extensiones (como uBlock Origin) o un navegador orientado a la privacidad (como Brave).

Utiq desplaza el problema un paso atrás: al nivel de tu conexión de red.

Así es como se cierra la trampa:

La interceptación de red: Cuando navegas por internet a través de tu conexión móvil (4G/5G) o tu router de fibra, Utiq utiliza tu dirección IP y los datos de tu suscripción de telecomunicaciones para identificarte.
El consentimiento (la falsa elección): Al llegar a un sitio asociado, una ventana emergente (popup) te pide que aceptes Utiq. Con la fatiga relacionada con los banners de cookies (Consent Fatigue), millones de usuarios hacen clic en “Aceptar” sin leer.
El “Network Signal”: Una vez dado el consentimiento, Utiq contacta directamente a tu operador de telecomunicaciones. Este último genera un token de identificación único y seudonimizado (la señal de red) que transmite a los anunciantes.

Ahora eres rastreable de sitio en sitio, no por un archivo almacenado en tu computadora, sino por la propia infraestructura que te provee internet.

¿Por qué Utiq es una pesadilla para la privacidad (OPSEC)?

La iniciativa plantea graves problemas para la soberanía digital y la confidencialidad de tus datos:

El rastreo en origen: A diferencia de las cookies clásicas, no puedes simplemente “borrar tu historial” o “vaciar tu caché” para deshacerte de Utiq. El token de identificación es generado por tu ISP.
La centralización de perfiles: Los operadores de telecomunicaciones ya conocen tu nombre, tu dirección física, tus datos bancarios y tu ubicación en tiempo real. Al vincular tu historial de navegación web a través de Utiq, crean un perfil de comportamiento de una precisión temible.
El fallo de la seudonimización: Utiq se defiende de compartir tu nombre en texto claro, afirmando utilizar tokens “encriptados”. Sin embargo, en el mundo de la ciberseguridad, está demostrado que la seudonimización es reversible. El cruce de estos tokens con otras bases de datos permite reidentificar fácilmente a los individuos.

¿Qué operadores utilizan Utiq?

Utiq fue fundado por una alianza de los cuatro operadores europeos más grandes. Si eres cliente de uno de ellos (o de una de sus filiales de bajo coste), tu conexión es potencialmente ya “compatible” con este rastreo.

Aquí están los fundadores y los enlaces a sus respectivas políticas de privacidad:

Orange (Francia, España, Polonia, etc.)
Vodafone (Alemania, España, Reino Unido, etc.)
Telefónica / O2 / Movistar (España, Alemania, etc.)
Deutsche Telekom (Alemania, Europa Central)

El consejo OPSEC: Aunque Utiq ofrece un portal centralizado de gestión del consentimiento (consenthub.utiq.com) para revocar el acceso, la mejor defensa sigue siendo tecnológica.

El enfoque de Confianza Cero (Zero-Trust) para contrarrestar Utiq

La filosofía de la soberanía digital, impulsada por ecosistemas como Arpokrat, se basa en un principio simple: nunca confiar en la infraestructura de red.

Para neutralizar técnicamente sistemas como Utiq, la solución es ocultar tu tráfico a tu propio proveedor de internet:

El uso de una VPN soberana: Al cifrar tu tráfico desde el momento en que sale de tu dispositivo, tu ISP solo ve un flujo de datos ilegible dirigido hacia un servidor VPN. Ya no puede inyectar ni leer los tokens de Utiq.
La red Tor (Orbot): El enrutamiento cebolla (onion routing) impide cualquier identificación de extremo a extremo.
El cifrado DNS (DoH/DoT): Impide que tu operador sepa qué sitios web solicitas visitar.

En resumen, Utiq es la prueba de que los proveedores de servicios de internet ya no se conforman con ser simples “tuberías”; quieren convertirse en corredores de datos. Más que nunca, el cifrado de tu tráfico ya no es una opción de seguridad, sino una necesidad absoluta para preservar tu silencio digital.

La Ilusión de la Soberanía: El Caso Olvid y la Trampa del CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

El anuncio resonó como un verdadero “grito de independencia” en los pasillos de París: el Primer Ministro ordenó al gobierno abandonar WhatsApp y Signal en favor de Olvid, una aplicación de mensajería presentada como “nativa”. El objetivo era claro: proteger los secretos de Estado de las agencias de inteligencia extranjeras.

Sin embargo, rápidamente surgió una amarga ironía: el corazón de Olvid —su infraestructura de servidores— late dentro de Amazon Web Services (AWS), un gigante estadounidense.

Para el público en general, parece un simple problema técnico de alojamiento. Pero para los arquitectos de la ciberseguridad soberana, es una vulnerabilidad política de primer orden.

Extraterritorialidad y Conflicto de Soberanías

Al depender de la infraestructura de Amazon, Olvid entra automáticamente en la órbita del CLOUD Act de EE. UU.

El análisis legal revela un escenario de inseguridad jurisdiccional que la simple adopción de una “app” nacional no resuelve. El punto de inflexión radica en el concepto de “control” frente a “localización”.

El CLOUD Act cambió radicalmente el paradigma legal: la ubicación física del servidor no importa. La obligación de cooperar del proveedor (AWS) se deriva únicamente de su vínculo jurisdiccional con EE. UU. Washington puede exigir datos a empresas bajo su jurisdicción, incluso si están en suelo europeo.

Legalmente, esto crea un conflicto frontal con el RGPD. El Tribunal de Justicia de la UE (a través de las sentencias Schrems I y II) ya ha establecido que las leyes de vigilancia de EE. UU. no ofrecen un nivel de protección equivalente al de Europa.

La soberanía digital no es un atributo del software, sino una propiedad de la integridad de la cadena de custodia.

El Espectro de FISA y la Falsa Promesa del Cifrado

Peor aún, esta dependencia sitúa estos datos bajo la sombra de la Foreign Intelligence Surveillance Act (FISA), que autoriza la vigilancia electrónica con fines de “inteligencia extranjera” a objetivos fuera de EE. UU.

Olvid afirma que su cifrado de extremo a extremo es un escudo suficiente. Desde la perspectiva de la ingeniería de privacidad, esta defensa es peligrosamente parcial.

Incluso si el contenido está cifrado, la infraestructura centralizada de AWS expone los metadatos. Saber quién habla con quién, cuándo, con qué frecuencia y desde dónde suele ser mucho más valioso para la inteligencia que el propio mensaje.

El cifrado protege el texto, pero el servidor centralizado delata la red de contactos.

El Verdadero Peligro Está por Venir

Mientras la infraestructura europea dependa de entidades sujetas a estatutos extraterritoriales, la seguridad de nuestras comunicaciones será puramente ilusoria.

La seguridad nacional exige una independencia total de la infraestructura y el hardware. Interceptar estos metadatos alimenta la amenaza más devastadora de la próxima década: la estrategia de “Recopilar ahora, descifrar después”.

Un secreto de Estado interceptado hoy no es más que una bomba de relojería matemática.

(Lea el resto de nuestro análisis en la Parte 2: La Bomba de Relojería y el Imperativo Zero-Knowledge)