Un grupo de investigadores devela un sofisticado sistema con el que las aplicaciones de Instagram y Facebook, propiedad de Meta, recolectaban de forma invisible el historial web de los usuarios en dispositivos Android desde septiembre de 2024, publica el diario El País.
Este descubrimiento, que ha sorprendido a expertos en privacidad, revela una estrategia pensada para eludir los controles de privacidad y conseguir datos sobre las prácticas de los usuarios.
El hallazgo fue realizado por el profesor de privacidad y rastreo online Günes Acar, de la Universidad Radboud (Países Bajos), junto con sus alumnos de máster, quienes inicialmente detectaron una conexión inusual con un puerto local del propio ordenador. Posteriormente, Acar consultó con Narseo Vallina-Rodríguez, investigador de Imdea Networks y especialista en seguridad y privacidad de apps móviles, quien inicialmente exclamó: “Pero cómo demonios...”. Hubo foros de desarrolladores de Facebook donde se quejaban.
El intrusivo método de rastreo de Meta: en qué consiste
Los investigadores tuvieron que probar conexiones entre páginas web y las aplicaciones de Meta (Facebook e Instagram) para comprender el funcionamiento real del sistema.
Descubrieron que Meta estaba uniendo la información de sus aplicaciones con la navegación de cada usuario, incluso cuando se utilizaba el modo incógnito del navegador o una Red Privada Virtual (VPN). Aquí publicaron el informe.
El funcionamiento de este “rastreo invisible” requería varios elementos clave:
- Usuario logueado en la app: Era fundamental que el usuario estuviera conectado a su aplicación de Instagram o Facebook en su dispositivo Android.
- El “Meta Pixel”: Las páginas web visitadas debían tener instalado el Meta Pixel, un pequeño fragmento de código que permite el rastreo. Este píxel se encuentra aproximadamente en el 20% de las páginas más visitadas, incluyendo algunas de contenido sensible.
- Conexión entre web y app: Cuando un usuario visitaba una página con el Meta Pixel, este no solo generaba una cookie que se enviaba a Meta, sino que también abría una conexión directa con la aplicación de Meta instalada en el móvil.
- Vinculación de identidad: A través de esta conexión con el puerto local del propio móvil, Meta lograba vincular esa cookie con la identidad real del usuario. Esto permitía saltarse todos los controles de privacidad del navegador, incluido el modo incógnito, ya que el usuario ya estaba logueado en la app. Normalmente, los rastreadores necesitan que el usuario envíe su nombre o correo electrónico en un formulario para vincular la identidad, pero en este caso, al estar logueado en la app, Meta no lo necesitaba.
Información recolectada y sorpresa en el sector
Este método no solo registraba las páginas visitadas, sino también “con detalle todo lo que haces en la web”. Esto incluye acciones como buscar un producto, añadirlo al carrito, realizar una compra o registrarse. Acar enfatiza que “básicamente, cada vez que haces algo, se lo mandan a su servidor. Es mucho más que simplemente saber que entraste a la web”.
La intrusividad de esta práctica ha sorprendido a la comunidad de expertos en privacidad. Günes Acar afirmó que “esta vez se han pasado” y que es “algo que realmente ha sorprendido a gente muy experimentada en el sector de la privacidad”. El sistema fue diseñado para ser difícil de detectar, ya que solo se activaba al probar las piezas exactas de software tanto en la aplicación como en el navegador.
Reacción de Meta y otras plataformas
Meta deshabilitó este sistema el pasado lunes, poco después de que varios medios globales, incluido El País, consultaran a la compañía sobre esta práctica. Un portavoz de Meta declaró: “Estamos hablando con Google para aclarar un posible malentendido sobre cómo se aplican sus políticas. En cuanto supimos de la inquietud, decidimos pausar la función mientras trabajamos con Google para resolver el asunto”.
La vulnerabilidad no solo afectaba a Chrome, sino también a otros navegadores en Android como Firefox, Edge o DuckDuckGo. Google ya está trabajando en un parche para su navegador Chrome para evitar que Meta pueda aprovechar este “agujero”.
Los investigadores también descubrieron que la plataforma rusa Yandex ha estado utilizando un sistema similar desde 2017 sin ser detectado. La primera versión del sistema de Meta era muy parecida a la de Yandex, utilizando conexiones al puerto local, aunque Meta luego cambió a protocolos más difíciles de detectar.
Existe la hipótesis de que Meta pudo haber lanzado este nuevo método como una reacción a las nuevas iniciativas que buscan limitar el rastreo de terceros en los navegadores, como el Privacy Sandbox de Google, aunque esto es solo una suposición.
