Apple y Starlink comparten datos sobre la ubicación de miles de millones de dispositivos

Investigadores de la Universidad de Maryland han identificado problemas graves de seguridad y privacidad en los sistemas de geolocalización de Apple y Starlink. Durante el estudio, quedó claro que los datos que estas compañías recopilan y comparten públicamente pueden usarse para rastrear la ubicación de miles de millones de dispositivos en todo el mundo.

Apple recopila datos sobre la ubicación exacta de todos los puntos de acceso Wi-Fi visibles por sus dispositivos, lo que permite que los dispositivos de la empresa proporcionen información de ubicación sin necesidad de GPS constante. Sistemas similares también son operados por Google. Ambos gigantes registran identificadores de puntos de acceso Wi-Fi, como direcciones MAC (BSSID).

A diferencia de Google, Apple devuelve la geolocalización de hasta 400 BSSID cercanos, permitiendo que los dispositivos determinen su ubicación en base a puntos de acceso conocidos. Este volumen de datos permitió a los investigadores de Maryland rastrear el movimiento de dispositivos individuales en cualquier parte del mundo. Solicitaron datos de más de mil millones de BSSID generados aleatoriamente y obtuvieron información sobre 488 millones de puntos de acceso.

Así, los investigadores usaron los datos obtenidos para monitorear los movimientos de los satélites Starlink. Cada dispositivo Starlink está equipado con su propio punto de acceso Wi-Fi, que es indexado automáticamente por los dispositivos Apple cercanos con servicios de geolocalización activados.

En respuesta a los resultados del estudio, Starlink lanzó actualizaciones de software que randomizan el BSSID de los dispositivos, dificultando su seguimiento. Los investigadores notaron que en los últimos meses, el número de dispositivos Starlink cuya ubicación podría determinarse mediante el sistema de Apple realmente ha disminuido.

Apple también respondió al estudio, realizando cambios en su política de privacidad. En marzo de 2024, la compañía permitió a los usuarios excluir sus puntos de acceso Wi-Fi del sistema, añadiendo el sufijo "_nomap" al nombre de la red.

Los investigadores enfatizaron que la falta de capacidad para optar por no participar en la recopilación de datos anteriormente representaba una amenaza seria para la privacidad. Según ellos, Apple debería implementar medidas adicionales para limitar el abuso de su API, como la limitación de la velocidad de las solicitudes.

Las vulnerabilidades descubiertas representan un problema serio para los usuarios de todo el mundo. El estudio destaca la necesidad de medidas adicionales de seguridad y privacidad en los sistemas de geolocalización para proteger a los usuarios de amenazas potenciales y abusos.