Usuarios de Android en shock mientras Facebook e Instagram eluden la configuración de privacidad con seguimiento secreto—Miles de millones en riesgo
Las aplicaciones de Facebook, Instagram y Yandex expusieron un seguimiento secreto de la navegación en Android—eludiendo configuraciones de privacidad y modo incógnito en 2025.
- 5.8M—Sitios web que alojan el código de seguimiento de Meta
- 3M—Sitios rastreados por Yandex
- 84%—Sitios rastreados por Yandex que explotan la falla de localhost
- 3 de junio de 2025—Seguimiento de Meta se detuvo abruptamente tras la divulgación
En un informe explosivo, los investigadores del renombrado Instituto IMDEA Networks han descubierto una violación de privacidad a gran escala que afecta a miles de millones de usuarios de Android en todo el mundo. Facebook, Instagram y el gigante tecnológico ruso Yandex han estado explotando puertos de red ocultos de Android para monitorear secretamente la actividad en la web de los usuarios, incluso cuando las configuraciones de privacidad están al máximo o el modo incógnito está habilitado.
¿Cómo Espionaron Facebook e Instagram la Navegación en Android?
Los investigadores revelaron que las aplicaciones de Android para Facebook e Instagram establecieron secretamente servicios en segundo plano que escuchan en «puertos» de red específicos—piensa en ellos como canales invisibles sintonizados para interceptar datos. Cuando un usuario visita un sitio con el pixel de seguimiento ubicuo de Meta (presente en más de 5.8 millones de sitios), un JavaScript sigiloso envía cookies del navegador directamente a través de la conexión localhost del dispositivo a la aplicación de Facebook o Instagram ya instalada, vinculando esa sesión web al perfil del usuario. La aplicación luego envía el historial de navegación enriquecido de vuelta a los servidores de Meta.
Sorprendentemente, esta práctica elude los controles de privacidad de Android y opera incluso si los usuarios borran su historial de navegación, deshabilitan las cookies o no están logged into Facebook o Instagram en su navegador. Los modos incógnito y privado no ofrecen defensa contra esta técnica sofisticada de espionaje.
¿Cómo Está Yandex Llevando la Vigilancia en Android Aún Más Lejos?
El gigante ruso Yandex ha implementado un enfoque de «comando y control» que recuerda al malware. Aplicaciones como Yandex Maps, Navigator y Browser incorporan el SDK de AppMetrica, enviando instrucciones de configuración directamente desde los servidores de Yandex sobre cuándo y cómo comenzar su seguimiento encubierto—en ocasiones esperando días antes de activarse para evitar ser detectados.
Los investigadores encontraron que un asombroso 84% de los sitios incorporados en Yandex intentaron una comunicación de seguimiento similar a través de localhost, superando con creces el ya alarmante alcance de Meta.
¿Qué Hace Que Este Explotación en Android Sea Diferente del Seguimiento Estándar?
A diferencia de los rastreadores web ordinarios—bloqueados por la mayoría de los navegadores o eliminados al borrar cookies—esta técnica de localhost explota el sistema operativo de Android. Elude todas las configuraciones estándar de privacidad.
- ¿Eliminar cookies o datos de navegación? Sin efecto.
- ¿Modo incógnito/privado? Aún se rastrea.
- ¿No logged in en aplicaciones? No importa.
- ¿Seguimiento de ubicación o anuncios desactivado? Irrelevante.
Este método rompe la misma base de la privacidad del usuario, ya que no depende del navegador—es la aplicación la que habla directamente a tu actividad en la web sin ser detectada.
¿Podrían las Aplicaciones Maliciosas Robar Aún Más Datos?
Preocupantemente, esto abre la puerta a cualquier aplicación—maliciosa o no—que espíe la actividad en la web. Los investigadores construyeron una prueba de concepto de una aplicación de Android que podría cosechar historiales de navegación en tiempo real solo escuchando en los mismos puertos de red. El enfoque no cifrado de Yandex significa que aplicaciones de terceros podrían compilar historiales de usuarios detallados con una facilidad alarmante, un escenario de pesadilla para la privacidad digital.
¿Sabían los Propietarios de Sitios Web Esto?
La evidencia apunta a una confusión y frustración generalizadas. Los desarrolladores que integraron píxeles de seguimiento de Meta y Yandex en sus sitios web informaron sobre conexiones extrañas a puertos locales de dispositivo—frecuentemente sin advertencia o documentación de Meta o Yandex. Los foros en línea están llenos de preguntas y quejas sin respuesta, algunas que datan de finales de 2024. Meta y Yandex, al parecer, se mantuvieron en silencio mientras la controversia crecía.
¿Cómo Están Respondiendo los Navegadores y Plataformas?
Después de que se publicó el informe de IMDEA, los principales proveedores de navegadores se movieron rápidamente. Google lanzó la versión 137 de Chrome en mayo de 2025, bloqueando los puertos de red abusados y trucos clave de enmascaramiento de datos. Otros navegadores están siguiendo el ejemplo (Mozilla, Apple), pero los investigadores advierten que reformas más profundas a nivel de plataforma son esenciales para erradicar explotaciones similares en futuras actualizaciones de aplicaciones.
De manera reveladora, a partir del 3 de junio—justo cuando la investigación se hizo pública—Meta pareció detener abruptamente sus tácticas de seguimiento más flagrantemente agresivas, aunque no ha hecho ninguna declaración pública.
¿Qué Pueden Hacer los Usuarios de Android y los Propietarios de Sitios Web?
En este momento, no hay una solución simple. Hasta que Android y los operadores de tiendas de aplicaciones implementen controles más sólidos, la única manera de garantizar la privacidad es evitando la suite de aplicaciones de Facebook, Instagram y Yandex—drástico pero efectivo.
Los expertos en seguridad instan a los gigantes tecnológicos a reformar cómo se gestiona el acceso a localhost y a evaluar estrictamente los SDK de seguimiento en sus ecosistemas de aplicaciones.
Cómo Protegerte del Seguimiento Web Oculto en Android
- Audita y elimina regularmente aplicaciones innecesarias, especialmente aplicaciones sociales y de navegación de Meta o Yandex.
- Mantente actualizado con las últimas actualizaciones de seguridad de tu navegador—prefiere opciones enfocadas en la privacidad.
- Utiliza herramientas de seguridad o privacidad de terceros que monitoreen la actividad de red sospechosa.
- Apoya a investigadores y organizaciones independientes de privacidad que responsabilizan a los gigantes tecnológicos.
Q&A: Preguntas Candentes Sobre el Escándalo de Seguimiento en Android
Q: ¿El modo incógnito me protege?
A: No. Este método de seguimiento opera fuera de los controles del navegador, funcionando independientemente de los ajustes de incógnito o navegación privada.
Q: ¿Admitieron Meta o Yandex este seguimiento?
A: Aún no hay nada oficial. Ambas empresas permanecen en silencio, a pesar del clamor de los desarrolladores y la creciente evidencia.
Q: ¿Serán suficientes las actualizaciones del navegador?
A: Ayudan a bloquear el método actual pero pueden no detener explotaciones futuras. Se necesitan reformas urgentes a nivel de plataforma.
Q: ¿Los usuarios de iPhone o iPad se ven afectados?
A: Este ataque está dirigido a la arquitectura de Android, pero los investigadores de seguridad advierten que todas las plataformas deben revisar la configuración de seguridad local.
¡Tu privacidad importa más que nunca! Toma medidas para proteger tus datos y demanda mayor transparencia de las aplicaciones que usas!
- ✅ Revisa y limita los permisos de las aplicaciones—especialmente para aplicaciones sociales y de navegación.
- ✅ Mantén tu navegador y sistema operativo actualizados con las últimas características de privacidad.
- ✅ Utiliza herramientas de seguridad para monitorear la actividad de red de las aplicaciones.
- ✅ Apoya la investigación de seguridad independiente que lucha por tus derechos digitales.
