El estudio revela cómo las aplicaciones móviles rastrean a los usuarios a través de WiFi y Bluetooth

Investigadores de IMDEA Networks, en colaboración con Universidad Carlos III de Madrid, IMDEA Software Institute, y la Universidad de Calgary, han realizado el Primer estudio a gran escala-«Su señal, sus datos: un análisis de privacidad empírica de los SDK de escaneo inalámbrico en Android», en cómo ciertas aplicaciones móviles de Android utilizan las conexiones WiFi y Bluetooth de un dispositivo para rastrear los movimientos de los usuarios en su vida diaria, violando así su privacidad.

El estudio explica cómo ciertas tecnologías, como pequeños dispositivos emisores de Bluetooth colocados en espacios públicos (por ejemplo, tiendas o aeropuertos), pueden usarse para determinar la ubicación precisa de una persona dentro de un edificio. Las aplicaciones pueden detectar estas señales inalámbricas, conocidas como balizas, para rastrear a los usuarios en el interior, incluso cuando el GPS no está disponible.

El análisis se centró en 52 kits de desarrollo de software (SDK), componentes integrados en aplicaciones móviles para proporcionar funcionalidades adicionales. El equipo de investigación examinó su comportamiento en casi 10,000 aplicaciones. Los hallazgos son claros: el 86% de estas aplicaciones recopilan GPS y señales inalámbricas como un proxy para la geolocalización junto con identificadores de dispositivos únicos.

El estudio, presentado en el Simposio de tecnologías de mejora de la privacidad conferenciarevela un ecosistema de seguimiento de geolocalización estrechamente vinculado a fines de publicidad y seguimiento, donde muchos SDK recopilan datos de ubicación no relacionados con la funcionalidad central de la aplicación. Potencialmente para extraer información para crear perfiles de usuario o realizar anuncios dirigidos, a menudo sin el conocimiento o el consentimiento de los usuarios.

Como Narseo Vallina-Rodríguez, coautor del estudio e investigador de IMDEA Networks, señala: «El mayor problema es que sus movimientos y con quién se encuentre pueden identificarse». También se encontró que algunos SDK acceden a datos confidenciales sin solicitar los permisos necesarios del sistema operativo Android, utilizando métodos indirectos para evitar restricciones.

Los investigadores también descubrieron una técnica conocida como ID puente, donde los SDK vinculan diferentes identificadores con el tiempo para mantener el seguimiento persistente de los usuarios. «Al correlacionar las señales inalámbricas y los identificadores de dispositivos de los usuarios, los SDK pueden unir perfiles de usuarios a través de reinicios, sin pasar por alto las salvaguardas de privacidad de Android», explica Aniketh Girish, coautora del estudio e investigador de IMDEA Networks.

Para abordar estos riesgos de privacidad, los investigadores proponen limitar el acceso de SDK a los datos personales a través de técnicas de sandboxing, realizar auditorías proactivas de aplicaciones utilizando tecnologías de escaneo inalámbricas e implementar mecanismos más transparentes para informar a los usuarios sobre qué datos se están recopilando y para qué propósito.