El profesor de privacidad y rastreo online Günes Acar, de la Universidad Radboud (Países Bajos), quería divertirse con sus alumnos de máster, así que se puso a buscar un ejemplo curioso de rastreo en la web de su universidad: “Sabía que la página tenía varios rastreadores, incluyendo el de Facebook. Pero de repente vi que había una conexión con un puerto local, o sea, con mi propio ordenador. Al principio no entendí nada”. Acar empezó a mirar en internet por si alguien más se hubiera dado cuenta. Encontró algunos foros de desarrolladores de Facebook donde se quejaban de lo mismo. “Pero Facebook no respondía, y luego alguien añadió: ‘Ya no lo veo más’. Pero no es que Facebook parara, solo cambiaron a otro método aún más oculto”, dice Acar.
Acar consultó el caso con Narseo Vallina-Rodríguez, investigador de Imdea Networks y especialista en seguridad y privacidad de apps móviles. “Pero cómo demonios…”, fue su primera reacción. ¿Podría Meta estar intentando algo nuevo para sortear los permisos de privacidad de los navegadores? Solo leyendo el código no podía averiguarse. Tuvieron que probar conexiones entre páginas y Facebook e Instagram, apps de Meta, para ver qué ocurría en realidad: Meta estaba uniendo la información de sus apps con la navegación de cada usuario, incluso en modo incógnito o con VPN (software que permite ocultar la conexión de un usuario a internet). Los detalles técnicos están explicados en una página específica creada por los académicos.
“Lo que vimos es que la web se comunica con la app del móvil para intercambiar información e identificadores”, dice Vallina-Rodríguez. “Eso significa que todo esto forma parte de una estrategia bien pensada para desanonimizar el tráfico web desde los móviles Android. Y como este comportamiento solo se activa cuando se prueban las piezas exactas de software, tanto en la app como en el navegador, también es mucho más difícil de detectar”, añade.
Este lunes Meta desactivó este sistema, poco después de que varios medios globales, entre ellos EL PAÍS, preguntaran a la compañía por esta práctica dudosa: “Estamos hablando con Google para aclarar un posible malentendido sobre cómo se aplican sus políticas. En cuanto supimos de la inquietud, decidimos pausar la función mientras trabajamos con Google para resolver el asunto”, dice un portavoz de Meta.
Esta vez se han pasado
Google ya está parcheando su navegador, Chrome, para que Meta no pueda aprovechar ese agujero. La vulnerabilidad afecta a otros navegadores que funcionan en Android como Firefox, Edge o DuckDuckGo. “Investigamos distintos ámbitos como este, pero es que esta vez se han pasado”, dice Acar. “Es algo que realmente ha sorprendido a gente muy experimentada en el sector de la privacidad”.
Meta usaba este método desde septiembre de 2024. ¿Podía tener algo que ver con los cambios de cookies que Google lleva años tratando de implantar? “Es posible que hayan lanzado este nuevo método como reacción a las nuevas iniciativas que intentan limitar el rastreo de terceros en los navegadores, como el Privacy Sandbox de Google, pero es solo una hipótesis”, dice Vallina-Rodríguez.
Además de Meta, los investigadores descubrieron también que la plataforma rusa Yandex hacía lo mismo desde 2017 sin que nadie se hubiera dado cuenta. ¿Fue el sistema de Meta una adaptación de lo que ya hacía Yandex? Es difícil de decir: “La primera versión de este sistema de comunicación de Meta era muy parecida a la de Yandex, porque ambas usaban conexiones al puerto local, o sea, al propio dispositivo del usuario. Después, Meta cambió a otros protocolos que son un poco más difíciles de detectar”,explica Vallina-Rodríguez.
El funcionamiento de este sistema requería que el usuario estuviera logueado en su app de Instagram o Facebook en su dispositivo Android. También necesitaba que las páginas webs tuvieran instalado el llamado Meta Pixel, un pequeño fragmento de código que permite el rastreo. Ese píxel está aproximadamente en el 20% de las páginas más visitadas, entre ellas algunas delicadas como webs de contenido adulto. Cuando entonces un usuario visitaba una determinada página web, ese píxel genera una cookie, que se envía a Meta. Pero ahora, además, ese mismo píxel abría una conexión con la app del móvil, que vinculaba esa cookie con tu identidad y la volvía a enviar a los servidores de Meta.
Esa cookie no permitía el rastreo mientras el usuario saltaba entre webs. Por ese este método es tan intrusivo, novedoso y potencialmente ilegal. Para poder vincular las cookies con tu identidad, los rastreadores normalmente recogen tu nombre o el hash de tu correo electrónico a través de un formulario de registro en las webs donde lo haya. “Pero en este caso, estos rastreadores no necesitan hacerlo, porque los usuarios ya están logueados en la app de Facebook o Instagram”, dice Vallina-Rodríguez. “Entonces, al hacer esta conexión con el puerto local de tu propio móvil, pueden saltarse todos los controles de privacidad del navegador, incluso el modo incógnito, y asociar tus cookies con tu identidad real”, añade.
La información no solo incluye las páginas visitadas, sino muchas de nuestras acciones en ellas: “Miran con detalle todo lo que haces en la web: si buscas un producto, si lo añades al carrito, si haces una compra o te registras. Hay un montón de datos. Básicamente, cada vez que haces algo, se lo mandan a su servidor. Es mucho más que simplemente saber que entraste a la web”, explica Acar.
