Dime qué tiempo hace en tu ciudad y sabré quién eres: Samsung encuentra una nueva forma de identificar al propietario

Un teléfono inteligente puede delatarte por completo incluso cuando solo miras el pronóstico del tiempo. La aplicación de clima integrada en los dispositivos Samsung resultó ser capaz de formar una huella digital persistente, que casi identifica de forma unívoca al propietario por el conjunto de ciudades guardadas. A esa conclusión llegaron los especialistas de Buchodi.

La aplicación se conecta regularmente al servidor api.weather.com, que pertenece a la empresa The Weather Company. En cada solicitud se envía el parámetro placeid: una cadena de 64 caracteres hexadecimales. Tiene el aspecto de un hash y corresponde a un lugar concreto guardado en la configuración del usuario.

El placeid en sí designa una ciudad o un punto en el mapa, no un dispositivo. Si dos personas añaden la misma ciudad, el servidor recibirá el mismo identificador. Pero en la práctica es más interesante. Los investigadores analizaron 9 211 solicitudes de 42 propietarios de teléfonos inteligentes Samsung durante cinco días y descubrieron que la combinación de todos los placeid en un mismo dispositivo forma un perfil casi único. Entre los 29 usuarios en los que se transmitieron estos parámetros, obtuvieron 28 combinaciones distintas. En el 96,4% de los casos el conjunto de ciudades pertenecía a una sola persona. Solo coincidieron dos usuarios, y aún así porque a ambos solo les habían guardado la misma única ciudad.

Cuantos más puntos añade una persona, más fácil es distinguirla. Incluso si una ciudad aislada puede coincidir en muchas personas, dos o tres en combinación ya dan una combinación extremadamente rara. En la muestra, el 95,8% de los placeid individuales aparecieron solo en un usuario.

Además, esa «huella» no depende de la red. Durante el periodo de observación el 64,3% de los participantes cambiaron de direcciones IP. Algunos se conectaron mediante internet doméstico, la red universitaria y el operador móvil, pasando de Wi‑Fi a la conexión celular. El conjunto de placeid se mantuvo igual. Está ligado a las ubicaciones guardadas, no a la conexión actual. Esto significa que ni el cambio de red ni el uso de VPN ocultan ese identificador.

La aplicación también usa claves de acceso integradas para api.weather.com. Esas claves son idénticas en todos los dispositivos y no están asociadas a un usuario concreto. Cualquiera que las extraiga del archivo de instalación podrá enviar solicitudes al servidor y obtener datos del tiempo o descifrar los placeid en coordenadas concretas y nombres de ciudades. De hecho, es un acceso abierto al servicio de determinación de la ubicación.

En varias solicitudes la aplicación envía no solo el placeid, sino también las coordenadas exactas mediante un parámetro separado. Aunque el servidor ya devuelve latitud y longitud solo con el identificador, el dispositivo envía además las coordenadas actuales. Para un pronóstico del tiempo esto es redundante, pero permite obtener datos más precisos y recientes sobre los desplazamientos.

Las solicitudes al servidor se realizan por una conexión protegida, por lo que un observador externo en la red no verá el contenido. Pero la propia The Weather Company recibe esos datos directamente. Y la aplicación que genera las solicitudes está controlada por Samsung.

La industria de los servicios meteorológicos ya ha estado varias veces en el centro de escándalos por la recolección de datos geográficos. En 2019 las autoridades municipales de Los Ángeles presentaron una demanda contra IBM y entidades relacionadas con la aplicación meteorológica, alegando que los datos de ubicación se usaron no solo para el pronóstico, sino también para publicidad y análisis. Más tarde se presentaron demandas colectivas, incluidas por la transmisión de información a socios publicitarios sin el debido consentimiento de los usuarios. Estos procesos se prolongaron durante varios años.

El nuevo mecanismo difiere de la transmisión directa de coordenadas. Incluso si una persona desactiva el acceso a la geolocalización, las ciudades ya guardadas siguen formando un identificador persistente. El conjunto de placeid se convierte en una especie de biografía geográfica. A partir de él se puede suponer dónde vive una persona, dónde trabaja, a dónde viaja de vacaciones y con qué regiones está vinculada.

El estudio de Buchodi cubrió solo 42 dispositivos y cinco días, por lo que es pronto para hablar de la escala en toda la población. Pero incluso con esta muestra se observa que dos o más ciudades guardadas casi garantizan la unicidad. Y la aplicación viene preinstalada y funciona por defecto. El participante más activo del estudio envió más de 2 000 solicitudes en cinco días sin realizar ninguna acción.

El tiempo en el smartphone parece una función inofensiva. Pero tras cada actualización del pronóstico puede ocultarse un marcador permanente y bastante preciso que acompaña al dispositivo de una red a otra y día tras día. El pronóstico gratuito resulta no ser tan gratuito.