De la economía de la atención a la economía del targeting humano: el Adint y la vulneración de los data-brokers

De la economía de la atención a la economía del targeting humano

Lo que hace que la publicidad digital moderna desvíe hacia el terreno de la inteligencia no es una deriva moral, sino una propiedad estructural de su arquitectura técnica. La publicidad programática se diseñó para optimizar una función simple: identificar a la «persona correcta» en el «momento correcto» para empujarle el «mensaje correcto», agregando al máximo las señales disponibles sobre un individuo y su entorno.

Para lograrlo, el ecosistema adtech ha multiplicado los sensores: SDK de aplicaciones que recopilan una geolocalización fina, identificadores publicitarios persistentes, huellas de terminales, historiales de navegación, datos de contexto (redes Wi-Fi, horarios, frecuencia de paso, etc.). Todo ello se inyecta en flujos de subasta en tiempo real (RTB), donde plataformas automatizadas evalúan en unos milisegundos el «valor» de mostrar un banner en una pantalla dada en un instante dado.
Véase mi artículo anterior: Fundamento técnico-económico de la publicidad digital moderna

Este flujo masivo es captado, transformado y revendido por una galaxia de intermediarios: regies publicitarias, agregadores, plataformas de gestión de datos (DMP) y, por último, data-brokers que reestructuran esas señales en «segmentos» y «audiencias». Son exactamente esos mismos flujos, concebidos para optimizar tasas de clics y ventas, los que, una vez extraídos de su finalidad de marketing, se convierten en una materia prima de targeting humano con una precisión rara vez alcanzada por los medios tradicionales de inteligencia.

Cómo el Adint convierte la publicidad en un sensor de terreno

La Advertising Intelligence (Adint) consiste en hacer inteligencia utilizando la capa publicitaria como sensor, sin necesidad de desplegar implantes específicos en los terminales objetivo. Técnicamente, un proveedor de Adint no necesita «hackear» un teléfono: le basta con comprar el acceso a flujos de datos que la industria publicitaria ya pone en circulación.

En un escenario típico, el proveedor:

• adquiere de data-brokers o de mercados de datos flujos que contienen identificadores publicitarios móviles (MAID, IDFA, GAID, etc.), asociados a coordenadas geográficas, marcas de tiempo y un mínimo de metadatos;
• correlaciona esos flujos en el tiempo para reconstruir trayectorias: lugares de residencia, de trabajo, itinerarios, costumbres, puntos de paso frecuentes;
• aplica filtros geográficos: por ejemplo, todos los terminales observados en el perímetro de una base militar, una embajada, un ministerio, un centro de investigación estratégica o de un lugar de culto o de reunión política;
• construye «watchlists» de dispositivos susceptibles de pertenecer a objetivos de interés (agentes de inteligencia, diplomáticos, oficiales, opositores políticos, periodistas, activistas).

Una vez identificados esos dispositivos, la potencia del Adint procede de que siguen alimentando, día tras día, los flujos publicitarios allá donde se desplacen. Sin ninguna orden de registro, sin requerimiento a un operador de telecomunicaciones, un servicio comprador puede potencialmente seguir:

• los desplazamientos diarios de personal sensible;
• sus visitas a lugares considerados comprometedores (encuentros con fuentes, participación en reuniones políticas, contactos con ONG, consultas en clínicas especializadas, etc.);
• los «grupos» de personas que se reúnen con regularidad en un mismo perímetro restringido, revelando redes, células y reuniones clandestinas.

Este mecanismo no se limita a los Estados que respetan una cadena de responsabilidad democrática. Un mismo proveedor puede vender el acceso a estas capacidades tanto a un servicio europeo sometido a la ley como a un servicio de seguridad interior de un régimen autoritario, sin diferencia técnica y con controles de fondo casi inexistentes.

El papel bisagra de los data-brokers: una vulneración sistémica

Los data-brokers son el punto de compromisión central, porque operan en el lugar exacto donde el dato cambia de estatuto: ya no es un flujo bruto de la cadena publicitaria, sino que se convierte en un recurso estructurado, consultable, listo para usar para terceros.

Su modelo se apoya en algunas características problemáticas:

Acumulación temporal: allí donde la regie publicitaria solo «ve» una impresión aislada, el data-broker historiza millones de eventos durante largos periodos. A partir de seis meses, un año o más, es posible reconstruir el historial completo de los desplazamientos de un dispositivo.

Enriquecimiento cruzado: un mismo identificador publicitario se correlaciona con otras fuentes (datos de navegación, compras, información de geolocalización procedente de otros SDK, bases de correos electrónicos cifrados con hash, etc.). Un terminal se convierte en un perfil, y ese perfil a veces se convierte en una identidad, aunque siga pseudonimizado en los contratos.

Opacidad contractual: las condiciones de acceso varían, pero suelen centrarse en cláusulas de uso «marketing» o «analítico». En la práctica, nada impide que un servicio de inteligencia opere tras una cobertura comercial (sociedad pantalla, proveedor local, integrador) para adquirir conjuntos de datos perfectamente estandarizados.

Globalidad del perímetro: estos brokers no compran datos «nacionales», sino flujos mundiales, a la escala de grandes plataformas o mercados internacionales. En cuanto un teléfono ha quedado expuesto, aunque sea una sola vez, a una campaña que utiliza a sus socios, aparece en sus bases, sea cual sea el país en que se encuentre.

Para un Estado comprador, esta configuración es ideal:

• ninguna dependencia directa de un operador móvil o de un fabricante de telecomunicaciones, y por tanto menos fricciones diplomáticas;
• ninguna inversión en capacidades pesadas de recolección sobre el terreno;
• posibilidad de cruzar esos datos adtech con sus propias bases (registros de pasajeros, bases administrativas, interceptaciones legales) para desanonimizar aún más.

Para un Estado objetivo, en cambio, es una pesadilla: los trayectos y las costumbres del personal sensible, de los cargos electos, de los altos funcionarios o de los actores de la sociedad civil acaban en bases a las que servicios hostiles pueden acceder mediante una simple compra, a veces a través de varios intermediarios.

Estados clientes, Estados objetivos: la vulnerabilidad importada

Cuando los servicios occidentales subcontratan o compran capacidades de Adint a sociedades extranjeras, en realidad importan una vulnerabilidad. El proveedor externo:

• ve pasar consultas, perímetros geográficos objetivo, parámetros de búsqueda que describen implícitamente las zonas, infraestructuras y perfiles considerados estratégicos;
• puede deducir prioridades operativas, esquemas de despliegue, correlaciones entre eventos;
• conserva, en la práctica, el control técnico de los conductos de datos y de los modelos utilizados, aunque el cliente disponga de una interfaz o de una instancia «dedicada».

Cuando esos proveedores están situados en países cuyos servicios de seguridad gozan de un acceso legal o informal a la infraestructura de las empresas nacionales, el Adint se convierte en un asunto de soberanía. El riesgo ya no es solo que datos de ciudadanos sean explotados por un socio tercero, sino que servicios extranjeros puedan cartografiar la superficie operativa de otros Estados («quién va adónde, cuándo, con quién») observando sus propios usos del Adint.

En el otro extremo del espectro, Estados poco preocupados por el respeto de los derechos fundamentales pueden usar esos mismos servicios para focalizar:

• a opositores políticos y militantes de la diáspora, seguidos en su país de acogida mediante la simple observación de sus terminales;
• a periodistas y ONG presentes en su territorio o en zonas de conflicto, localizados por su paso por determinadas zonas;
• a minorías religiosas o étnicas, identificadas por la frecuentación de lugares de culto, de asociaciones, de barrios específicos.

En esas configuraciones, la cadena adtech, en origen «neutra», se convierte en un dispositivo de vigilancia masiva que puede focalizarse a voluntad, sin control judicial local ni internacional. La noción de consentimiento del ciudadano ya no tiene ninguna pertinencia: el terminal «consintió» en compartir la localización para un servicio meteorológico o un juego, pero la información pasa luego a manos que no responden ante ningún juez independiente.

Implicaciones operativas para CIO, CISO y responsables públicos

Para un CIO de una administración, un CISO ministerial o un responsable de la seguridad de los sistemas de información de un operador de importancia vital, el Adint y la compromisión de los data-brokers obligan a replantear la política móvil y la gestión del parque de aplicaciones. Los teléfonos inteligentes de los agentes, cargos electos, magistrados, policías y militares ya no son solo terminales que hay que «asegurar» contra el malware: son balizas publicitarias ambulantes.

Algunas consecuencias inmediatas:

1. El riesgo principal no es el ataque, sino la fuga estructural
   Incluso sin infección, un teléfono emite de forma continua señales de geolocalización a través de la capa publicitaria. Las sanciones del RGPD y las políticas de confidencialidad no bastan para contener el fenómeno, porque lo esencial de la fuga se sitúa fuera de la relación bilateral proveedor-usuario.

2. Las aplicaciones «anodinas» se convierten en sensores
   Los juegos gratuitos, las aplicaciones meteorológicas, las VPN dudosas, las herramientas de linterna o de optimización de batería suelen estar saturadas de SDK publicitarios. Son ellas las que transmiten la mayor parte de las señales explotadas por el Adint. Una carta de uso centrada en las «aplicaciones profesionales» sin tratar el resto del parque deja un agujero enorme.

3. La separación profesional / personal es insuficiente si no es hermética
   El BYOD o los terminales de doble uso exponen los trayectos y costumbres privadas de los agentes sensibles a las mismas cadenas publicitarias. Un agente que vuelve a casa con su teléfono de servicio y su teléfono personal «hablador» permite a un actor de Adint cruzar los dos perfiles observando sus colocalizaciones sistemáticas.

4. Los datos públicos de movilidad pueden correlacionarse
   Tarjetas de acceso, registros de conexión, huellas de desplazamientos en vehículo de servicio pueden cruzarse por un adversario con lo que observa mediante Adint, reforzando su capacidad de atribuir un identificador publicitario a una identidad real.

Ejes de acción pragmáticos para limitar la exposición

En este terreno, el discurso puramente reglamentario no basta: los mecanismos de sanción llegarán siempre demasiado tarde respecto a la innovación de los proveedores y a los usos de los servicios extranjeros. Para un decisor, se trata primero de reducir la superficie de ataque aguas arriba y, en paralelo, trabajar palancas de política pública más estructurales.

En el plano técnico y organizativo:

Política restrictiva de aplicaciones en los terminales sensibles
Los terminales de servicio del personal expuesto (inteligencia, diplomacia, altos funcionarios, magistrados, policía, ejército, reguladores estratégicos) deben considerarse «zona prohibida» para cualquier SDK publicitario. Esto implica una selección drástica de las aplicaciones autorizadas, una verificación sistemática de la presencia de SDK publicitarios y analíticos, y la proscripción de las tiendas de aplicaciones generalistas para esos terminales.

Equipos compartimentados y endurecidos
Los perfiles de alto riesgo deben disponer de terminales compartimentados: un teléfono de servicio sin adtech, endurecido, potencialmente limitado a una lista blanca de aplicaciones, y en su caso un terminal personal claramente separado, cuyo uso esté regulado. El primero nunca debe servir para usos privados (redes sociales, juegos, compras en línea, etc.).

Configuración agresiva de la publicidad y de la localización
La prohibición, mediante configuración MDM, de la publicidad personalizada, del seguimiento entre aplicaciones y del acceso a la localización para las aplicaciones no esenciales reduce drásticamente la cantidad de señales explotables por el Adint. No elimina el riesgo, pero disminuye considerablemente la granularidad de las trayectorias reconstruidas.

Sensibilización focalizada de los perfiles de interés
Los agentes que se desplazan por zonas sensibles o que ocupan funciones estratégicas deben recibir formación específica sobre el riesgo Adint: qué aplicaciones evitar, cómo desactivar los servicios inútiles, por qué un teléfono encendido permanentemente en determinadas zonas se convierte en un rastreador publicitario accesible para un Estado tercero.

En el plano político y regulatorio:

Marco específico para los data-brokers
Los data-brokers deben salir del ángulo muerto reglamentario y someterse a regímenes específicos: obligaciones de transparencia sobre los volúmenes y categorías de datos vendidos, prohibición de venta a determinados tipos de clientes (sociedades pantalla radicadas en jurisdicciones de riesgo, proveedores de inteligencia identificados), auditorías independientes.

Cláusulas de soberanía en la contratación pública
La contratación pública que implica flujos de datos publicitarios (campañas de comunicación del Estado, operadores de servicios digitales públicos) debe integrar cláusulas que limiten las transferencias hacia actores sometidos a legislaciones extraterritoriales agresivas, y prohibir la reventa a brokers no acreditados.

Cooperación internacional focalizada
Una política de soberanía digital creíble pasa por la cooperación con otros Estados expuestos para cartografiar a los proveedores de Adint, compartir indicadores de compromisión (IOC «publicitarios») y, en su caso, inscribir a determinados actores en listas de sanciones o de restricciones de exportación.

Un cambio de paradigma para la seguridad nacional

El Adint y la compromisión de los data-brokers marcan un umbral: la amenaza ya no procede solo de los equipos del corazón de red o del software crítico, sino de una economía del dato «auxiliar» construida sin pensarse a sí misma como una infraestructura de inteligencia.

Para un CIO, un CISO, un decisor político, la conclusión es simple:

• tratar la cadena publicitaria y los data-brokers como una superficie de exposición estratégica al mismo nivel que los proveedores de telecomunicaciones, los hiperescaladores de la nube o los fabricantes de equipos;
• considerar la geolocalización publicitaria como un dato de seguridad nacional en cuanto concierne a agentes o infraestructuras críticas;
• integrar el riesgo Adint en las doctrinas, las formaciones, las auditorías de seguridad y los arbitrajes diplomáticos.

Mientras los terminales del personal sensible sigan alimentando sin control los mercados publicitarios mundiales, las mejores leyes de protección de datos seguirán siendo en gran medida teóricas. El dominio de la cadena adtech y la recuperación del control sobre los data-brokers dejan de ser asuntos puramente «digitales»: son desde ahora cuestiones de soberanía, de contrainteligencia y, para algunos Estados, de protección de la vida y de la libertad de sus ciudadanos más expuestos.