Un estudio publicado en 2025, titulado Tu señal, sus datos: un análisis empírico de la privacidad de los SDK de escaneo inalámbrico en Android, realizado por investigadores de IMDEA Networks, Universidad Carlos III de Madrid, IMDEA Software y Universidad de Calgary, ha revelado cómo los Kits de Desarrollo de Software (SDKs) de escaneo inalámbrico integrados en aplicaciones Android recopilan datos que comprometen seriamente la privacidad de los usuarios.
Estos SDKs, mediante el escaneo de señales Bluetooth de Baja Energía (BLE) y Wi-Fi, son capaces de determinar la ubicación del dispositivo y realizar el seguimiento del usuario, incluso en espacios interiores sin depender exclusivamente del GPS.
El estudio parte de la siguiente hipótesis: «Imagine caminar por un centro comercial y, al pasar por las tiendas, su teléfono vibra con anuncios y notificaciones personalizadas». Seguro que a más de uno le habrá ocurrido. Esto ocurre gracias a señales inalámbricas que detectan balizas cercanas, revelando patrones de movimiento, hábitos diarios, relaciones sociales y visitas a lugares sensibles (clínicas, lugares de culto, etc.).
La demanda de datos de ubicación por parte de algunas empresas ha impulsado una compleja cadena de suministro de actores especializados en la recopilación, agregación y reventa de estos datos. Empresas como Venntel y Gravy Analytics fueron investigadas en Estados Unidos por la Comisión Federal de Comercio por vender ilegalmente datos de ubicación, incluidas visitas a lugares sensibles como clínicas de aborto.
Los investigadores analizaron 52 SDKs de escaneo inalámbrico integrados en 9.976 aplicaciones Android, que suman unos 55 mil millones de instalaciones acumuladas. Para ello, utilizaron una combinación de análisis estático (inspección del código y uso de APIs) y análisis dinámico (ejecución controlada con inyección de eventos inalámbricos en dispositivos instrumentados) para detectar capacidades de escaneo y comportamiento en tiempo real de estos SDKs.
El 86 % de las aplicaciones analizadas recolectaban datos sensibles y el 71 % no presentaban una justificación clara al usuario al solicitar permisos de localización, vulnerando la transparencia y el consentimiento informado. Los datos recopilados con mayor frecuencia son los ID de dispositivo (62 %), información personal como nombres, correos electrónicos y otros ID de usuario (60 %) y ubicación (35 %).
Los resultados presentados constituyen una evidencia real de la difusión de datos de geolocalización vinculados a la ID de usuario para fines secundarios, por ejemplo, para elaborar perfiles de identidad, seguimiento de movilidad, publicidad y potencialmente venta o corretaje de datos.
Los autores de la investigación proponen una serie de recomendaciones para abordar los problemas de privacidad mediante acciones técnicas, regulatorias y de diseño de plataformas con el objetivo de aumentar la transparencia y la protección de los usuarios:
- Mejorar la transparencia: Implementar APIs que exijan una justificación clara para el uso de permisos antes de que el usuario los conceda.
- Reforzar las políticas de Google Play: Aumentar los controles de seguridad (como Google Play Protect) para auditar y sancionar comportamientos que vulneren la privacidad.
- Auditorías en tiempo real: Realizar verificaciones continuas para detectar prácticas de rastreo no autorizadas.
- Incentivar regulaciones y rediseños: Promover normativas y cambios en los mecanismos de permisos para proteger mejor a los usuarios.
Conclusión
El estudio demuestra que el rastreo encubierto mediante escaneo inalámbrico está profundamente integrado en el ecosistema de apps Android, a menudo sin consentimiento informado ni transparencia adecuada. Millones de aplicaciones acumulan datos que permiten perfiles detallados de movilidad y comportamiento del usuario, erosionando su privacidad, incluso cuando desactiva la señal GPS.
Urge una acción combinada: usuarios que revisen permisos y desactiven escaneos innecesarios (Ajustes > Ubicación > Servicios de ubicación > Precisión de Google > Escaneo Wi-Fi/Bluetooth OFF), desarrolladores que adopten como criterio la minimización de datos y plataformas que impongan controles más estrictos. Sin estos cambios, el equilibrio entre funcionalidad y privacidad seguirá inclinado hacia la recopilación masiva.
No se pierda nuestro podcast sobre el artículo
