Revelan el método oculto de Meta para rastrear el historial de navegación sin permiso de sus usuarios

Una investigación reveló que Meta empleaba un sistema capaz de asociar la identidad real de los usuarios con su historial de navegación, incluso cuando estos utilizaban modo incógnito o VPN en sus dispositivos Android.

La compañía habría implementado este método desde septiembre de 2024 en las aplicaciones de Instagram y Facebook, lo que permitió a la empresa de Mark Zuckerberg recopilar información detallada sobre la actividad web de los usuarios sin su consentimiento explícito.

El descubrimiento surgió cuando el profesor Günes Acar, de la Universidad Radboud en los Países Bajos, detectó una conexión inusual entre la web de su universidad y un puerto local de su propio ordenador.

Al investigar más a fondo, Acar encontró discusiones en foros de desarrolladores de Facebook que señalaban el mismo comportamiento, aunque la empresa no ofreció respuestas claras.

Posteriormente, Acar y el investigador Narseo Vallina-Rodríguez, de Imdea Networks, analizaron el código y realizaron pruebas que confirmaron que Meta había diseñado un sistema para vincular la información de sus aplicaciones con la navegación web de los usuarios, incluso cuando estos intentaban proteger su privacidad mediante herramientas como el modo incógnito o redes privadas virtuales.

De acuerdo con declaraciones de los investigadores a El País, el mecanismo funcionaba mediante la comunicación entre la web y la aplicación móvil, intercambiando identificadores y datos personales.

Este proceso solo se activaba cuando coincidían versiones específicas del software tanto en la aplicación como en el navegador, lo que dificultaba su detección. Vallina-Rodríguez explicó que esta estrategia “buscaba desanonimizar el tráfico web desde dispositivos Android”, superando los controles de privacidad habituales de los navegadores.

El sistema de rastreo requería que el usuario estuviera autenticado en la aplicación de Instagram o Facebook en su dispositivo Android y que las páginas web visitadas tuvieran instalado el Meta Pixel, un fragmento de código presente en aproximadamente el 20% de los sitios más visitados, incluyendo páginas de contenido sensible.

Cuando un usuario accedía a una página con este píxel, se generaba una cookie que se enviaba a Meta. Además, el píxel establecía una conexión con la aplicación móvil, vinculando la cookie con la identidad del usuario y reenviando la información a los servidores de la empresa.

A diferencia de otros métodos de rastreo, este sistema no dependía de que el usuario proporcionara su nombre o correo electrónico en formularios web, porque la autenticación previa en las aplicaciones de Meta permitía asociar directamente la actividad de navegación con la identidad real del usuario.

Vallina-Rodríguez explicó que, al establecer una conexión con el puerto local del dispositivo, el sistema eludía los controles de privacidad del navegador, incluso en modo incógnito, y asociaba las cookies con la identidad del usuario.

La información recopilada no se limitaba a las páginas visitadas, sino que incluía detalles sobre las acciones realizadas en ellas, como búsquedas de productos, adición de artículos al carrito, compras o registros.

El lunes posterior a la publicación de los hallazgos, Meta desactivó el sistema tras recibir consultas de varios medios internacionales. Un portavoz de la empresa declaró: “Estamos hablando con Google para aclarar un posible malentendido sobre cómo se aplican sus políticas. En cuanto supimos de la inquietud, decidimos pausar la función mientras trabajamos con Google para resolver el asunto”.

Fuentes de Google consultadas por El País reconocieron la gravedad de la situación. Además, enfatizaron que los desarrolladores implicados estaban usando funciones presentes en navegadores de iOS y Android de forma involuntaria, lo que contravenía sus principios de seguridad y privacidad.

Asimismo, Google dijo que ya implementó cambios para mitigar estas técnicas y abrió una investigación propia, manteniendo contacto directo con las partes involucradas. Además, el problema afectó a otros navegadores en Android, como Firefox, Edge y DuckDuckGo.