La geolocalización permanente: cómo tu teléfono te sigue incluso cuando crees haberlo impedido

Sun, 02 Aug 2026 00:00:00 +0000

En 2024, dos investigadores de la Universidad de Maryland consultaron de forma repetida el servicio de posicionamiento Wi-Fi de Apple, sin privilegios especiales ni material específico, y reconstruyeron en un año la posición precisa de más de dos mil millones de puntos de acceso Wi-Fi en todo el mundo. Su artículo, Surveilling the Masses with Wi-Fi-Based Positioning Systems , muestra lo que permite ese mapa: seguir material que entra y sale de Ucrania, observar el desplazamiento de la población tras los incendios de Maui, rastrear a una persona a través de su router doméstico.

Ninguno de esos dispositivos tenía el GPS activado. La posición venía de otro sitio.

Es el punto ciego más extendido en materia de privacidad móvil: la convicción de que existe un interruptor de localización y de que, una vez apagado, el teléfono deja de saber dónde está. Esa convicción es falsa en siete niveles distintos.

La localización no es una función que tu teléfono activa. Es una propiedad de lo que el teléfono es.

El GPS, el vector menos problemático

El único mecanismo que todo el mundo identifica es también el que menos debería preocuparte.

El GNSS, término genérico que agrupa el GPS estadounidense, Galileo, GLONASS y BeiDou, funciona escuchando. Los satélites emiten de forma continua señales con marca de tiempo, el receptor capta varias y calcula su posición a partir de las diferencias de tiempo de propagación. Precisión habitual en exteriores despejados: de tres a cinco metros, a menudo varias decenas de metros en ciudad, donde las fachadas reflejan las señales.

El punto decisivo es que ese cálculo es pasivo. El teléfono no emite nada hacia los satélites, ningún operador satelital sabe que existes. Si el GNSS fuera lo único en juego, apagar el GPS bastaría.

Existe, sin embargo, un matiz. Para acelerar el primer cálculo, los teléfonos usan A-GPS: descargan las efemérides satelitales desde un servidor, mediante el protocolo SUPL . Para obtener los datos correctos, el teléfono transmite a ese servidor el identificador de la celda de red a la que está conectado. El GNSS puro no te delata, pero el acelerador que le han injertado sí.

La red móvil: lo que el operador sabe por construcción

Para que una llamada pueda llegarte, la red debe saber en qué zona estás. No es una opción activable, es la condición de existencia del servicio. Tu teléfono se anuncia permanentemente a la antena más cercana, y ese registro deja rastro del lado del operador. Ninguna aplicación instalada, ningún permiso concedido: basta con una tarjeta SIM activa.

La precisión depende del método:

Identificador de celda solo: de 200 metros en zona urbana densa a más de 30 kilómetros en zona rural, donde una antena cubre un radio muy amplio.
Cell ID enriquecido, que añade el sector de antena (la mayoría de los emplazamientos se dividen en tres sectores de 120 grados) y la potencia de la señal: de 100 metros a algunos kilómetros.
Timing advance, que mide el retardo de ida y vuelta entre el teléfono y la antena: del orden de 550 metros en GSM, unos 78 metros en LTE.
Multilateración sobre tres antenas o más: de 50 a 300 metros en LTE urbano.

El 5G cambia la escala por dos razones acumulativas. La densidad, primero: las celdas 5G cubren radios mucho más cortos, de modo que la simple conexión ya es una información fina. La normalización, después: desde la Release 16, el 3GPP integra señales de posicionamiento nativas. Los objetivos comerciales apuntan a menos de 3 metros en interiores y menos de 10 metros en exteriores para el 80 % de los terminales, y la Release 18 baja al centímetro para ciertos usos industriales.

La infraestructura que te conecta se convierte por tanto en un sistema de posicionamiento de calidad comparable al GPS, sin que hayas activado nada. Ese dato se conserva según normas nacionales y resulta accesible a las autoridades mediante procedimientos variables. Es el mismo debate de fondo que el tratado a propósito de la jurisdicción aplicable a los datos alojados : protección técnica y protección jurídica no se solapan.

El Wi-Fi: un mapa del mundo hecho de direcciones de hardware

Cada punto de acceso Wi-Fi difunde permanentemente un identificador de hardware único, el BSSID. Esos identificadores son fijos y geográficamente estables: un router doméstico permanece años en el mismo sitio.

Apple, Google y algunos actores especializados mantienen bases que asocian cada BSSID a unas coordenadas, construidas por los teléfonos de sus propios usuarios, que remiten la lista de puntos visibles junto con una posición GNSS. La operación se invierte después: un teléfono que ve cuatro puntos conocidos ya no necesita ni un solo satélite. En zona urbana densa, la precisión alcanza habitualmente algunas decenas de metros, y baja por debajo en interiores.

Dos propiedades hacen que este mecanismo sea difícil de neutralizar. Primero, el teléfono escanea incluso cuando el Wi-Fi parece desactivado: desde Android 4.3, el sistema mantiene un barrido periódico destinado a mejorar la localización, con independencia del interruptor del panel rápido. Ese comportamiento depende de un ajuste distinto, enterrado en los servicios de localización, que la práctica totalidad de los usuarios jamás ha abierto.

Segundo, la base se puede consultar desde fuera. Es la brecha que explotaron Rye y Levin: las interfaces de posicionamiento devuelven no solo la posición solicitada sino también la de puntos de acceso vecinos, lo que permite cosechar el mapa sin acercarse físicamente jamás a los lugares.

Bluetooth y BLE: localizado por los teléfonos de los demás

El Bluetooth Low Energy añade una capa de proximidad, con un alcance de unos pocos metros a algunas decenas de metros, es decir, de una granularidad mucho más fina que la red móvil. Coexisten dos usos. Las balizas comerciales, desplegadas en tiendas, aeropuertos o centros comerciales, emiten un identificador que reconocen las aplicaciones presentes en el teléfono, lo que revela ante qué estante te detuviste y durante cuánto tiempo. Y las redes de localización colaborativas, cuyo modelo es Find My de Apple, replicado después por Google y Samsung.

Este segundo mecanismo invierte una hipótesis implícita. El análisis de referencia, Who Can Find My Devices? , publicado en las actas de PETS 2021 por investigadores de la Universidad Técnica de Darmstadt, reconstruyó el protocolo de Apple mediante ingeniería inversa. Un dispositivo sin conexión emite una señal BLE, cualquier dispositivo Apple cercano la capta, le añade su propia posición y la transmite cifrada a los servidores de Apple, sin que lo sepa ni su portador ni el portador del dispositivo localizado.

La consecuencia es estructural: un dispositivo sin tarjeta SIM, sin Wi-Fi, sin conexión de red de ningún tipo sigue siendo localizable, siempre que un desconocido pase cerca con un teléfono en el bolsillo. Tu aislamiento ya no depende de tus ajustes, sino de los de los transeúntes.

Los sensores inerciales: localizar sin permiso de localización

Un teléfono contiene un acelerómetro, un giroscopio, un magnetómetro y a menudo un barómetro. Esos sensores pertenecen a una categoría de permisos distinta de la localización: una aplicación puede leerlos sin haber preguntado jamás dónde estás.

Investigadores de Princeton lo demostraron con PinMe . Su aplicación parte de la dirección IP y de la zona horaria para una posición aproximada, y luego lee los sensores: el acelerómetro da el perfil de aceleración y frenado, el giroscopio la secuencia de giros, el magnetómetro el rumbo, el barómetro las variaciones de altitud. Una red neuronal identifica el modo de transporte, a pie, coche, tren o avión, y el trayecto se ajusta sobre datos públicos de cartografía, altimetría y meteorología. Resultado: una trayectoria de una precisión comparable al GPS, sin permiso de localización. El método tiene límites, que los autores documentan, ya que falla en zonas sin carreteras y se degrada en trazados en cuadrícula uniforme, donde numerosos recorridos producen la misma firma. Sigue siendo la demostración de que un permiso denegado no es una puerta cerrada.

El barómetro aporta además la dimensión que el GNSS gestiona mal, la vertical. Las exigencias estadounidenses para las llamadas de emergencia imponen una precisión de planta de más o menos 3 metros para el 80 % de las llamadas en interiores. Saber en qué planta se encuentra alguien es de otra naturaleza que saber en qué manzana está.

El mercado del dato: el vector más banal

Los mecanismos anteriores describen cómo se calcula una posición. Queda saber adónde va, y ahí se juega lo esencial del riesgo cotidiano.

Miles de aplicaciones integran SDK publicitarios, componentes de software suministrados por terceros que un desarrollador añade para monetizar su trabajo o medir su audiencia. Esos componentes heredan los permisos de la aplicación anfitriona: una aplicación meteorológica que legítimamente necesita tu posición la transmite a actores cuyo nombre nunca has leído. A eso se suman los flujos de pujas publicitarias, donde tu posición aproximada se difunde a decenas de compradores potenciales cada vez que se muestra un banner, incluidos los que no compran nada y se limitan a escuchar.

Esa materia prima alimenta una industria. La Electronic Frontier Foundation documentó el caso de Fog Data Science , que reivindicaba miles de millones de puntos de datos sobre más de 250 millones de dispositivos, vendidos a policías locales estadounidenses. Brian Krebs describió Locate X , un producto que permite trazar un polígono sobre un mapa y visualizar el historial de los dispositivos que entraron y salieron de esa zona.

Este vector no exige proeza técnica alguna, solo que alguien acepte pagar. El precio es modesto.

Los IMSI catchers: la localización activa

Los mecanismos vistos hasta aquí explotan un funcionamiento normal. Existe también una localización activa, llevada a cabo por un tercero que interviene sobre la red.

Un IMSI catcher, o simulador de celda, es un equipo que se hace pasar por una antena legítima. Los teléfonos al alcance se conectan a él, revelando su identificador de abonado y su presencia en un perímetro restringido.

El 5G debía cerrar esa puerta sustituyendo el identificador permanente en claro por uno cifrado, el SUCI. El cierre es parcial. Los trabajos presentados bajo el título 5G SUCI-catchers: still catching them all? documentan ataques de enlace que permiten volver a correlacionar sesiones pese al cifrado. Sobre todo, la protección cae por completo si el atacante fuerza al terminal a replegarse hacia una generación anterior, el 2G en particular, cuya autenticación es unilateral. Un teléfono 5G sigue siendo vulnerable a un ataque concebido para una red de los años noventa, porque todavía acepta descender hasta ella.

Las contramedidas y su eficacia real

Cada medida siguiente hace algo. Ninguna lo hace todo, y la distancia entre lo que hacen y lo que se les atribuye produce las malas decisiones.

El modo avión

El modo avión corta la emisión del módem celular, del Wi-Fi y del Bluetooth. Es real, y es el mejor resultado para un esfuerzo tan bajo.

Lo que no hace: no detiene los sensores inerciales, no elimina las posiciones ya almacenadas en caché, que partirán al reconectarse, y permite en la mayoría de los dispositivos reactivar el Wi-Fi o el Bluetooth por separado sin salir de él. Es, en fin, un estado de software, no un corte de alimentación: su fiabilidad depende de la integridad del sistema que lo aplica.

Un detalle subestimado: el desenganche y el reenganche a la red son en sí mismos acontecimientos con marca de tiempo del lado del operador. Un teléfono que desaparece a las 21 h en una celda y reaparece a las 23 h en otra ha producido una información, no un silencio.

La aleatorización de la dirección MAC

Los sistemas móviles emiten hoy direcciones MAC aleatorias durante los barridos, para impedir el seguimiento de un lugar a otro. La intención es buena, el resultado incompleto. Los trabajos de referencia, entre ellos Why MAC Address Randomization is not Enough , muestran que el contenido de las tramas de descubrimiento suele bastar para reidentificar el dispositivo: el número de elementos de información, sus valores y su orden forman una huella. A ello se añaden los números de secuencia, incrementales y por tanto encadenables, y la firma temporal propia de cada modelo. Algunos estudios informan de un seguimiento correcto de la mitad de los dispositivos durante al menos veinte minutos.

Límite conceptual, por último: la aleatorización solo afecta a la fase de descubrimiento. En cuanto te conectas a una red, la dirección utilizada es estable para esa red, por diseño, para que la conexión funcione. La cafetería a la que vas cada mañana te reconoce.

Cortar de verdad los escaneos

Es el ajuste más rentable y el más ignorado. En Android, la búsqueda Wi-Fi y la búsqueda Bluetooth son dos opciones distintas, situadas en los servicios de localización, independientes de los interruptores del panel rápido. Mientras estén activas, apagar el Wi-Fi desde el panel no basta: el barrido continúa.

Desactivarlas elimina una capa entera de recolección, sin más coste que un primer cálculo de posición algo más lento. Para la mayoría de los lectores, es la mejor relación entre el esfuerzo invertido y el resultado obtenido.

Los permisos de las aplicaciones

Revocar el permiso de localización a las aplicaciones que manifiestamente no lo necesitan sigue siendo útil, y los sistemas recientes ofrecen tres graduaciones: la autorización puntual, la autorización limitada al uso activo y la localización aproximada, que solo transmite una zona del orden del kilómetro.

Eso no protege, en cambio, ni de los SDK alojados en una aplicación que tenga una razón legítima para acceder a tu posición, ni de los sensores inerciales, ni de las capas de red, que no pasan por permiso alguno.

Lo que la VPN no protege

Punto que conviene aclarar, porque la creencia contraria está muy extendida: una VPN no oculta tu posición. Oculta tu dirección IP pública, de modo que falsea la geolocalización por IP, que es de todas formas el mecanismo más grosero de la lista.

Una VPN no toca ni el receptor GNSS, ni el barrido Wi-Fi, ni el Bluetooth, ni los sensores. No cambia nada de lo que sabe tu operador, puesto que el túnel cifrado transita por sus antenas y la conexión a la celda le sigue siendo visible. No impide que una aplicación con permiso de localización transmita coordenadas exactas dentro del túnel. La VPN protege el contenido y el destino de tus comunicaciones en una red no fiable, y eso ya es mucho. La localización no está en su perímetro.

Los límites físicos

Una funda de Faraday funciona en sentido literal: bloquea emisiones y recepciones. La retirada de la batería también, cuando todavía es posible. El dispositivo dedicado, o dejar el teléfono en otra parte, sigue siendo la medida más robusta.

Estas soluciones comparten un defecto que hay que mirar de frente: producen una anomalía. Un teléfono que calla dos horas cada martes por la noche dice algo. Frente a un adversario que analiza pautas en lugar de posiciones instantáneas, la ausencia es un dato.

Tres adversarios, tres estrategias

Es la distinción más importante de este artículo, y la que menos se lee.

Frente a un anunciante o un intermediario de datos, el combate es ganable. Disciplina de permisos, desactivación de los barridos, sistema sin servicios de localización propietarios, restablecimiento del identificador publicitario: el conjunto reduce muy notablemente el volumen recogido. Ese adversario busca volumen a bajo coste, no tu caso particular.

Frente a tu operador, ninguna configuración basta. La localización celular es la condición del servicio. Las únicas variables reales son jurídicas, lo que la ley autoriza a conservar y a transmitir, y materiales: qué dispositivo, qué tarjeta SIM, a qué nombre, encendido dónde.

Frente a un adversario estatal dirigido, el razonamiento cambia de nuevo, ya que combina el acceso legal a los datos del operador, la localización activa mediante simulador de celda, el requerimiento a las plataformas y, en su caso, el compromiso del terminal. Las contramedidas de software reducen la superficie, pero el objetivo realista no es la desaparición: es saber con precisión qué sigue expuesto.

El enfoque de ArpokratOS

ArpokratOS responde a este panorama con una elección que se desprende de la distinción anterior: lo que debe neutralizarse se neutraliza a nivel de sistema, no en un menú.

En el GNSS, el controlador de hardware se retira. El dispositivo se comporta como si el chip no existiera, tanto para las aplicaciones como para el propio sistema. La diferencia con un interruptor de ajustes no es cosmética. Un interruptor es una política: lo aplica una capa que puede ser eludida por un componente suficientemente privilegiado, reactivada por una actualización o ignorada por un sistema comprometido. Retirar la ruta de código suprime la cuestión, ya que no queda nada que activar.

El Bluetooth se trata a nivel Core, con la misma lógica. Un Bluetooth desactivado en los ajustes deja en la práctica la pila de software viva en muchos dispositivos, para alimentar los servicios de proximidad y las redes de localización colaborativas. Ausente a nivel de sistema, no puede dialogar con una baliza de tienda, ni participar en una red de tipo Find My, ni servir de superficie de ataque sin interacción.

Hay que decir claramente lo que esto no hace. ArpokratOS no vuelve indetectable a un teléfono. Mientras una tarjeta SIM esté activa, el operador conoce la celda de conexión, y ningún sistema operativo cambia eso, ni siquiera con la totalidad del tráfico encaminada por Tor. El enrutamiento protege el contenido y el destino, no la geometría radio. Quien promete la invisibilidad vende una historia.

Lo que una arquitectura así aporta es más modesto: la supresión de las capas aplicativas y de proximidad, por las que pasa la inmensa mayoría de la recolección real, y un modelo de amenaza explícito sobre lo que subsiste. Es el razonamiento aplicado a la elección de un sistema de escritorio, detallado en nuestro comparativo de sistemas operativos : la pregunta útil no es si una herramienta protege, sino de qué protege y a qué precio.

Conclusión

Este artículo no proporciona un método para desaparecer. Ese método no existe, y los textos que pretenden lo contrario producen sobre todo falsa confianza, más peligrosa que la ausencia de protección porque lleva a asumir riesgos.

El objetivo era sustituir una pregunta binaria, ¿soy localizable o no?, por una pregunta útil: por quién, con qué precisión, a qué coste para ellos y si eso me importa. La respuesta difiere para un periodista que protege una fuente, un directivo de viaje en una jurisdicción delicada, un abogado cuyas citas revelan una estrategia o un particular molesto porque un anunciante conozca sus costumbres.

Lo que debería retener la atención no es, por cierto, el rendimiento de cada uno de esos mecanismos tomado por separado, sino el hecho de que se solapan. Una posición con cincuenta metros de margen no es muy interesante. Una posición con cincuenta metros de margen, cada cuarto de hora, durante dos años, dibuja un domicilio, un lugar de trabajo, una confesión religiosa, un estado de salud, una relación, una fuente. El dato de localización es el metadato que hace legibles a todos los demás, y por eso vale caro.

Fuentes

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Geolocalización on Arpokrat