Una nueva amenaza a la privacidad de miles de millones de usuarios acaba de salir a la luz. En su informe "Europe’s hidden security crisis", el Irish Council for Civil Liberties (ICCL) ha denunciado la existencia de Patternz, una sofisticada herramienta de espionaje que opera entre las sombras de Internet, y que ya habría logrado sustraer información confidencial a una escala sin precedentes.
Patternz es un sistema de vigilancia al que se puede alimentar con datos de Real Time Bidding (RTB) para generar perfiles detallados de más de cinco mil millones de personas a nivel global. Estos perfiles, que revelan información desde ubicaciones hasta secretos íntimos, son luego comercializados a brokers de datos.
Lo inquietante de Patternz es su capacidad para rastrear movimientos, incluso las rutas de viaje de niños, y deducir aspectos tan delicados como problemas financieros o estados psicológicos de los individuos. Esta herramienta representa no solo una violación masiva de la privacidad, sino también una potencial amenaza a la seguridad individual.
Wolfie Christl, investigador de ciberseguridad de Cracked Labs y co-autor del informe, afirma en un hilo de Mastodon que en documentos internos de Patternz a los que ha tenido acceso,
"[documentos] no puedo publicar, también explican que los teléfonos móviles "siempre están con los usuarios", que "conceden acceso a las aplicaciones voluntariamente", por lo que el smartphone se convierte en una "pulsera de seguimiento de facto".
Los documentos públicos subrayan que el sistema Patternz también puede utilizarse con fines ofensivos enviando "mensajes dirigidos, anuncios o troyanos directamente a través de la tecnología publicitaria".
Pero, ¿qué es eso del Real Time Bidding (RTB)?
El RTB es un método que permite a los anunciantes pujar en tiempo real por espacios publicitarios online. Este mecanismo, aunque eficiente para la gestión publicitaria —pues permite que los anuncios sean extremadamente específicos y dirigidos—, se convierte en una herramienta de doble filo cuando se trata de la seguridad y la privacidad del usuario.
Funciona de la siguiente manera:
- Automatización: Cuando un usuario visita una página web que contiene espacios publicitarios, la información sobre el usuario y el espacio publicitario se envían automáticamente a un mercado de anuncios.
- Subasta: En milisegundos, se realiza una subasta entre varios anunciantes que pujan por mostrar su anuncio en ese espacio específico, basándose en la información disponible del usuario (como ubicación, comportamiento de navegación, intereses, etc.).
- Elección del anunciante ganador: El anunciante que ofrece el precio más alto gana la subasta y su anuncio se muestra al usuario.
España, el tercer país europeo que más datos RTB por persona genera.
El RTB es un componente clave de la publicidad programática —uno que, según denuncia el ICCL, está presente en casi todas las plataformas web—, pero también plantea preocupaciones sobre la privacidad, ya que implica la recopilación, circulación y uso de grandes cantidades de datos personales.
RTB, un descomunal agujero en nuestra privacidad
Según afirma el ICCL en su informe:
"Países extranjeros y actores no estatales también pueden obtener datos de RTB [procedentes] de la UE de manera indirecta: comprándolos a algunas de las muchas empresas que reciben transmisiones de RTB.
Por ejemplo, otra empresa de vigilancia (ISA) reconoció que obtiene datos de RTB indirectamente a través de grandes empresas de RTB, lo que alimenta su sistema de vigilancia Patternz".
Así, el ICCL advierte que el comercio de datos RTB podría comprometer la seguridad de la Unión Europea, al proporcionar información sensible sobre figuras políticas y militares… y ser transferidos estos datos a entidades emplazadas en potencias extranjeras, donde las autoridades pueden acceder a ellos en virtud de las leyes nacionales.
Perfil de seguimiento a un usuario en una pantalla de Patternz.
Christl señala a la industria publicitaria online como "cómplice" en este escenario: cada vez que alguien visita un sitio web o utiliza una aplicación móvil que muestra anuncios digitales, los datos del perfil se transmiten a decenas o cientos de empresas y otras entidades de manera incontrolada, lo que implicaría que su procesamiento es ilegal bajo el GDPR.
El informe también critica la decisión deliberada de crear el sistema de publicidad RTB de esta manera y el esfuerzo continuo de la industria de datos para mantenerlo funcionando, recurriendo a las labores de lobby y a intentos de retrasar la aplicación del GDPR. En palabras de Christl,
"En Europa, la aplicación del GDPR ha fracasado. De lo contrario, el intercambio incontrolado de datos personales a través del flujo de licitaciones RTB se habría cerrado hace años. Los reguladores del GDPR deben tomar medidas ahora, iniciar una investigación de alta prioridad, ordenar prohibiciones de procesamiento".
Imagen | Marcos Merino mediante IA
Ver 2 comentarios