Las apps más usadas y cómo ponen tu privacidad contra las cuerdas

Nucleo Visual » Nucleo Tecnológico » Las apps más usadas y cómo ponen tu privacidad contra las cuerdas

Cada vez que abres Instagram, Facebook, TikTok o Amazon en tu móvil, estás pagando un precio que no aparece en ningún lado: tu privacidad. Muchas de las apps más usadas del mundo viven de rastrear hasta el último detalle de lo que haces, dónde estás, con quién hablas o qué compras, para transformarlo en un perfil hiperpreciso que se vende al mejor postor publicitario.

No hablamos solo de redes sociales, sino también de navegadores, sistemas operativos y apps “inocentes” como lectores de QR, linternas o juegos casuales. Incluso algunos bancos, Google Chrome, Microsoft Office o el propio Windows recopilan enormes cantidades de datos. Y la pregunta incómoda es inevitable: si sabemos que estas aplicaciones invaden nuestra intimidad, ¿por qué seguimos usándolas?

Las apps más usadas que suspenden en privacidad

Un informe reciente atribuido a NSO Group y análisis como el de pCloud coinciden en lo esencial: las grandes plataformas sociales y de servicios digitales han convertido la recopilación de datos en el corazón de su negocio. No se trata solo de saber tu nombre y correo electrónico, sino de registrar cada gesto que haces dentro de la app.

Meta encabeza el ranking de apps que comparten más datos con terceros. Facebook, Instagram, Messenger y Threads llegarían a divulgar alrededor de un 68,6% de la información de sus usuarios a empresas externas, según uno de los estudios citados. pCloud, por su parte, calculó que Instagram comparte hasta el 79% de los datos y Facebook alrededor del 57%. Son cifras que ilustran un nivel de seguimiento muy por encima de lo razonable para ofrecer un simple servicio de red social.

Otras plataformas como Snapchat, TikTok, X (antes Twitter) y LinkedIn tampoco se quedan cortas. Estas redes también recolectan y procesan grandes cantidades de datos con la excusa de “mejorar la experiencia de usuario” o “personalizar la publicidad”. El resultado es que tu comportamiento, tus gustos, tus miedos y hasta tus horarios de sueño pueden convertirse en materia prima para campañas de marketing extremadamente dirigidas.

El problema no se limita a redes sociales y mensajería. Amazon, por ejemplo, no comparte tantos datos con terceros (menos de un 6%, según uno de los informes), pero almacena alrededor de una cuarta parte de la información personal de sus usuarios. Esa base de datos, cruzada con tu historial de compras, tus búsquedas y tus preferencias, sirve para optimizar recomendaciones, promociones y estrategias comerciales extremadamente afinadas.

Google, servicios integrados y otras apps que se quedan con más de lo que crees

Las aplicaciones de Google constituyen otro de los grandes núcleos de recolección de datos. Gmail, el buscador, Google Maps o Google Pay están profundamente integrados en millones de dispositivos Android (y también tienen versiones para iOS), lo que les permite acceder a capas de información que otras apps no alcanzan con tanta facilidad.

Según los análisis disponibles, estas herramientas de Google figuran entre las que más información capturan. YouTube, por ejemplo, compartiría alrededor de un 31% de los datos con terceros. El tipo de contenido que ves, cuánto tiempo lo ves, en qué momento paras un vídeo o a qué le das “me gusta” son datos valiosísimos para perfilarte como consumidor y mantenerte enganchado a la plataforma.

Incluso apps que parecen inocentes, como Duolingo, tienen un apetito de información nada despreciable. Este conocido servicio de aprendizaje de idiomas llegaría a compartir aproximadamente un 20% de los datos con empresas externas, una cifra bastante alta para una app cuyo objetivo principal es que aprendas vocabulario y gramática.

Los datos que se recogen abarcan casi cualquier aspecto de tu vida digital: historial de búsquedas, contactos, identificadores del dispositivo, información financiera, ubicación aproximada o precisa, e incluso fotos y vídeos almacenados en tu terminal. Todo ello puede combinarse para generar un retrato muy detallado de quién eres y qué haces.

En paralelo, muchas aplicaciones de productividad y sistemas de escritorio también participan en esta dinámica. Google Chrome, Microsoft Office o incluso Windows recopilan telemetría, hábitos de uso, datos de diagnóstico y, en algunos casos, información vinculada a tu cuenta como parte de su funcionamiento. Aunque parte de estos datos buscan mejorar la estabilidad o la seguridad del producto, también se utilizan con fines comerciales y de integración con otros servicios.

Qué datos rastrean realmente las aplicaciones

Los informes apuntan a un patrón muy claro en el uso que hacen las apps de nuestros datos. El estudio atribuido a NSO Group, por ejemplo, distingue tres grandes bloques de motivaciones detrás de la recopilación masiva de información personal.

En primer lugar, la publicidad de terceros: aproximadamente un 57% de las aplicaciones analizadas comparten datos con redes de anunciantes externas y cobran por ello. Es el modelo típico del “si el servicio es gratuito, el producto eres tú”: tu información se convierte en la moneda que financia la plataforma.

En segundo lugar, el análisis de comportamiento: cerca del 91% de las apps estudiadas monitorizan la actividad del usuario para entender cómo se usan sus servicios. A partir de ahí, un 81% personaliza la experiencia en función de tus interacciones previas, lo que quiere decir que lo que ves, en qué orden y cómo se te presenta está decidido en función de un perfilado continuo.

El tercer bloque es el más opaco: algunos desarrolladores recopilan información para “propósitos no especificados”, sin detallar con claridad para qué la utilizarán. Esta zona gris despierta la mayor preocupación, porque abre la puerta a usos posteriores que el usuario nunca imaginó cuando instaló la app.

Conviene recordar que no todo acceso a datos implica malas intenciones. Aplicaciones como Waze, Google Maps, Uber o Uber Eats necesitan conocer tu ubicación en tiempo real para funcionar correctamente. El problema surge cuando una app solicita permisos que no guardan relación directa con lo que ofrece, como un juego que pide acceso a tus contactos, a la cámara o al GPS sin una justificación evidente.

Android, permisos forzados y la idea de los datos sintéticos

Uno de los puntos más delicados para la privacidad en móviles Android es la gestión de permisos. En teoría, el sistema permite aceptar o denegar lo que cada app solicita, pero en la práctica muchas aplicaciones “esenciales” se niegan a funcionar si no se les da carta blanca.

Las aplicaciones bancarias son un ejemplo clásico de este chantaje encubierto. Algunas exigen ver qué otras apps tienes instaladas o reclaman acceso completo a tus SMS solo para leer automáticamente los códigos OTP (las claves de un solo uso), a pesar de que existen APIs más seguras y limitadas. El mensaje implícito es claro: o cedes tus datos, o no puedes usar tu banco desde el móvil.

Esta situación convierte el consentimiento en algo puramente formal. El usuario no está eligiendo libremente, sino aceptando bajo presión porque necesita usar la aplicación. De ahí surge la idea de que Android ofrezca una tercera vía: proporcionar datos ficticios o sintéticos en lugar de acceso real, para que la app “crea” que tiene lo que pide sin poner en riesgo la privacidad.

El concepto sería sencillo de entender para el usuario: si una app quiere tus contactos, el sistema podría darle una agenda falsa pero creíble; si necesita la lista de apps instaladas, devolverle un conjunto genérico; si pide acceso a SMS, entregarle solo los OTP filtrados o incluso mensajes simulados. A diferencia de enviar datos vacíos (que se detectan fácilmente), los datos sintéticos preservarían la funcionalidad aparente sin exponer la realidad.

Android ya abstrae y aleatoriza ciertos identificadores del dispositivo, así que desde el punto de vista técnico no parece una quimera. La gran duda es si las barreras son técnicas o, más bien, políticas y económicas: la presión de grandes desarrolladores, redes publicitarias y entidades financieras podría estar frenando la implantación de un sistema que reduciría enormemente el valor comercial de los datos de los usuarios.

Malware en Google Play y apps aparentemente inofensivas

Más allá del rastreo legal amparado por largos textos de privacidad, existe otro frente igual de preocupante: el malware camuflado como app legítima. Distintos estudios de ciberseguridad, como los de la firma Zscaler, han detectado cientos de aplicaciones maliciosas en Android capaces de robar contraseñas, interceptar SMS o tomar el control del dispositivo.

Lo más inquietante es que muchas de estas apps parecen totalmente banales. Hablamos de lectores de códigos QR, linternas, conversores de documentos a PDF o pequeños juegos casuales, presentes en la propia Google Play Store y con miles de descargas. Una vez instaladas, pueden abrir una puerta trasera para que un atacante tome el control o robe información sensible sin que el usuario se entere.

En un listado concreto se enumeran hasta 200 aplicaciones problemáticas, entre las que se encuentran nombres como SCinema, Money Manager Expense & Budget, GOM Player, TMAP, diferentes apps de entretenimiento, herramientas de notas, reproductores de audio como GOM Audio, apps de seguimiento de uso del móvil como UBhind o convertidores financieros como Cashnote, entre muchas otras.

La moraleja es que el peligro no siempre viene de las grandes marcas hiperconocidas. Una sencilla aplicación para consultar el metro de una ciudad, hacer una captura de audio o añadir efectos a las fotos de tu gato puede estar enviada por un desarrollador que solo busca aprovecharse de tus datos o incluso saquear tus cuentas.

Google asegura que Play Protect actúa como una capa de defensa adicional, analizando y bloqueando versiones conocidas de malware incluso cuando proceden de fuera de Play Store. Sin embargo, la propia dinámica de descubrimiento de nuevas amenazas implica que siempre hay un cierto desfase entre la aparición de apps maliciosas y su detección, por lo que el criterio del usuario sigue siendo esencial.

Por qué este modelo de negocio es tan invasivo

No es que la tecnología digital esté “condenada” a ser invasiva; el problema es el modelo de negocio dominante. Muchas empresas tecnológicas han apostado por ofrecer servicios aparentemente gratuitos a cambio de recopilar y explotar el máximo número posible de datos personales.

La lógica es simple: cuantos más datos tengas, mejor podrás predecir el comportamiento futuro de los usuarios. Qué querrán comprar, a quién votarán, cómo se mueven por su ciudad o en qué momento son más vulnerables a un determinado mensaje. Esa capacidad de predicción es oro puro para anunciantes, partidos políticos, aseguradoras y un largo etcétera.

Directivos de grandes compañías lo han dicho sin tapujos. Andrew Ng, antiguo responsable de proyectos en Google y después en Baidu, llegó a admitir que muchas empresas lanzan productos no tanto por los ingresos directos, sino por los datos que pueden obtener de ellos. Más tarde, monetizan esa información a través de otros servicios o acuerdos comerciales.

Esta mentalidad choca con una visión más centrada en la privacidad por diseño, un enfoque que plantea justo lo contrario: si un dispositivo o software no necesita un dato para cumplir su función, no debe recogerlo. Un ejemplo típico es el de un robot de cocina que incluye un micrófono conectado a Internet sin que exista una verdadera necesidad funcional, exponiendo al usuario a escuchas remotas o hackeos.

La Agencia Española de Protección de Datos (AEPD) ha publicado guías para que fabricantes y desarrolladores integren la privacidad por defecto en sus productos. Esto incluye reducir al mínimo la recopilación de datos, aplicar cifrado sólido y garantizar que el usuario conserva el control efectivo sobre lo que comparte. En paralelo, la AEPD señala repositorios y proyectos impulsados por comunidades hacktivistas que llevan años creando servicios alternativos más respetuosos con los usuarios.

Alternativas más respetuosas: mensajería, correo, buscadores y más

Salir del ecosistema de las grandes plataformas no es sencillo, pero sí hay alternativas que apuestan por proteger tu intimidad incluso a costa de sacrificar algo de comodidad o pulido visual. La propia AEPD y organizaciones como la Electronic Frontier Foundation (EFF) recomiendan diversas aplicaciones centradas en la privacidad.

En mensajería instantánea, Signal suele ser la opción más destacada para la mensajería privada. Disponible para iOS y Android, destaca por su cifrado fuerte y por recopilar muy pocos metadatos. Eso sí, la EFF recuerda que ninguna app de mensajería cubre todas las necesidades en todos los contextos, por lo que no es mala idea combinar varias herramientas dependiendo del tipo de conversación.

Otras recomendaciones en este ámbito incluyen ChatSecure para iPhone, SilentCircle enfocada al entorno corporativo y Telegram, que aunque ha tenido sus polémicas (entre ellas la presión del Gobierno ruso para controlar sus servidores), aparece en varios listados como una opción razonablemente cuidada en términos de privacidad.

En correo electrónico, el cifrado PGP sigue siendo una referencia décadas después de su creación. Implementaciones como GnuPG permiten añadir una capa fuerte de seguridad y autenticación al correo, y servicios como ProtonMail (radicado en Suiza y amparado por leyes de privacidad estrictas) incorporan de serie muchas de estas protecciones y herramientas como Proton Authenticator.

Para gestionar el correo desde el escritorio, Thunderbird de Mozilla sigue siendo un clásico, y proyectos como Kolab Now apuestan por ofrecer suites de colaboración y correo electrónico basadas en software libre y con una filosofía centrada en la privacidad.

Buscadores, navegadores y almacenamiento en la nube con foco en privacidad

El buscador es uno de los campos donde es más fácil romper con Google sin perder demasiada funcionalidad. DuckDuckGo lleva años posicionándose como el buscador que no te rastrea, evitando crear un perfil personalizado basado en tu historial.

Otra opción es Startpage, que utiliza los resultados de Google pero sin asociarlos a tu identidad. Lo que hace es interponerse entre tú y el buscador, de forma que Google nunca ve tu dirección IP ni tu perfil, aunque el tipo de resultados que obtienes sea muy similar al de la experiencia original.

En cuanto a navegadores, la recomendación más radical es Tor Browser, que enruta tu tráfico a través de una red de nodos voluntarios para dificultar enormemente que terceros puedan rastrear tu actividad. Está disponible para Android, iOS, Windows, macOS y Linux, y su enfoque es minimizar al máximo las huellas que dejas al navegar.

Firefox también figura entre los navegadores más respetuosos con la privacidad, sobre todo si se configura para usar buscadores alternativos y se refuerza con extensiones que bloqueen rastreadores y cookies de terceros. Varios repositorios de herramientas pro-privacidad recomiendan sustituir el motor de búsqueda por defecto (Google) por opciones menos intrusivas.

En almacenamiento en la nube, abundan los servicios que plantean modelos de negocio de pago a cambio de privacidad. OwnCloud, por ejemplo, permite montar tu propio “Dropbox” autoalojado, de modo que tú controlas dónde residen físicamente tus archivos y qué se hace con ellos. También hay proveedores como Internxt que apuestan por la privacidad como ventaja competitiva.

Herramientas como Cryptomator añaden una capa extra de cifrado a lo que subes a otros servicios más generalistas, haciendo mucho más difícil que proveedores o terceros curiosos puedan inspeccionar el contenido, incluso si lograsen acceder a tu cuenta.

Redes sociales, ofimática y mapas alternativos

El terreno de las redes sociales es probablemente el más complicado de abandonar, porque es donde se concentran amigos, familia y contactos profesionales. Aun así, existen proyectos descentralizados y federados que intentan romper el monopolio de las grandes plataformas.

Prism Break y otros repositorios citados por la AEPD recomiendan opciones como pump.io o RetroShare para quienes tienen conocimientos técnicos suficientes como para montar su propia red privada para un grupo de confianza. Estas soluciones cifradas permiten crear comunidades pequeñas sin entregar tus datos a una multinacional.

Para usuarios sin perfil técnico, Mastodon se ha convertido en la alternativa más visible a Twitter/X. Con más de dos millones de usuarios, funciona como una red de servidores federados en los que cada “instancia” tiene sus propias normas, pero todas pueden interconectarse, lo que reduce la centralización del poder de datos.

En el ámbito de la ofimática, CryptPad ilustra muy bien el concepto de privacidad por diseño. Todo lo que creas (documentos de texto, hojas de cálculo, presentaciones, encuestas…) se cifra en tu navegador antes de salir hacia el servidor, lo que significa que ni siquiera el proveedor puede leer tu contenido si no tiene las claves.

EtherCalc ofrece edición colaborativa de hojas de cálculo sin necesidad de ceder tus datos a una gran multinacional. Es software libre y puede instalarse en servidores propios o de confianza, evitando así que cada celda que modificas se convierta en una señal más para el perfilado publicitario.

En el campo de la cartografía, OpenStreetMap demuestra que también es posible ver mapas sin convertir tu ubicación en un producto comercial. Aunque no tiene vistas satélite al nivel de Google Maps ni un Street View equivalente, proporciona mapas muy completos, incluidos carriles bici y transporte público, y puede integrarse en multitud de aplicaciones respetuosas con la privacidad.

Configurar permisos, cookies y hábitos para reducir el rastreo

Además de elegir buenas herramientas, es clave aprender a domar las que ya usas. En cualquier móvil puedes revisar, desde el panel de ajustes, a qué datos accede cada aplicación: ubicación, cámara, micrófono, contactos, almacenamiento, historial de llamadas, etc.

Revisar y recortar permisos de forma periódica es una de las formas más efectivas de limitar el rastreo. Muchas apps funcionan perfectamente sin acceso constante al GPS o sin poder leer tus contactos; basta con otorgar permisos solo cuando se necesitan realmente o denegarlos por completo si no ves sentido a la petición.

Otra estrategia útil es recurrir a las versiones web de ciertos servicios. Acceder a Facebook, YouTube o incluso a algunas herramientas de mensajería desde el navegador móvil suele implicar menos recopilación de datos que instalar la app nativa, que con frecuencia integra SDK de publicidad, rastreo cruzado y bibliotecas adicionales.

Desinstalar las aplicaciones que no usas también es fundamental. Muchas siguen ejecutando procesos en segundo plano, actualizándose y enviando telemetría aunque apenas las abras, con lo que mantenerlas instaladas se traduce en una fuga constante de información sin ningún beneficio real.

Con las cookies en la web ocurre algo parecido. Los banners de preferencias te ofrecen la posibilidad de aceptar o rechazar distintas categorías. Aunque a veces resulten pesados, configurarlos para limitar las cookies de seguimiento y permitir solo las estrictamente necesarias marca una diferencia real en el nivel de perfilado que sufres al navegar.

Qué hacer si sospechas de una app o sufres un ciberataque

Si notas que tu móvil se comporta de forma extraña tras instalar una aplicación, conviene actuar con rapidez. Entre los síntomas habituales de una infección por malware se encuentran un consumo de batería anormal, datos móviles disparados, lentitud sin motivo aparente o aparición de anuncios invasivos incluso fuera de la app sospechosa.

En cuanto detectes algo raro, lo primero es desinstalar la app y, si es posible, pasar un análisis con una solución de seguridad de confianza. Si el problema persiste, puede ser necesario hacer una copia de seguridad de lo imprescindible y restaurar el dispositivo a valores de fábrica.

En España, el Instituto Nacional de Ciberseguridad (INCIBE) ofrece asistencia y orientación tanto a particulares como a empresas. Notificarles posibles fraudes, estafas o comportamientos sospechosos de aplicaciones ayuda a que otros usuarios no caigan en la misma trampa.

Mientras tanto, Google insiste en que Play Protect está activado por defecto en los dispositivos Android con Google Play Services, y que bloquea muchas de las aplicaciones maliciosas conocidas, incluso cuando se descargan desde fuera de la tienda oficial. Aun así, la experiencia demuestra que ningún filtro es perfecto y que mantener una actitud crítica ante lo que instalas es la mejor defensa.

En este panorama, la combinación de herramientas centradas en la privacidad, una buena gestión de permisos, algo de escepticismo y apoyo mutuo entre usuarios marca la diferencia. No se trata de vivir con miedo al móvil, sino de entender qué está en juego cada vez que pulsas “Aceptar” y de ir cambiando, poco a poco, aquellas apps y hábitos que convierten tu vida digital en un libro abierto para cualquiera dispuesto a pagar por leerlo.