Los iPhone gratis eran un señuelo de una enorme maquinaria de recopilación de datos personales

La promesa de obtener un nuevo iPhone gratis resultó ser la puerta de entrada a un sistema mucho más amplio, donde el producto principal no es el smartphone, sino el propio participante del sorteo. Qurium Media Foundation trazó la ruta de los datos a través de una red de empresas publicitarias, intermediarios y estructuras offshore y descubrió un ecosistema relacionado que durante años recopila y transmite información sobre los usuarios.

Los especialistas comenzaron con anuncios publicitarios activos que prometían iPhone y Samsung gratis. Seguían todo el recorrido de un participante común, desde el banner hasta el formulario final. Diversas promociones parecían independientes, usaban distintas marcas y diseños, pero una y otra vez conducían a una misma infraestructura técnica, jurídica y comercial. Un principio similar emplean esquemas con iPhone, donde el interés por un smartphone caro sirve para obtener dinero o datos personales.

Qurium dividió este sistema en tres niveles. El operador de la página de aterrizaje compra tráfico publicitario, muestra el sorteo y recopila los datos iniciales. Luego la información llega a empresas que se ocupan de generación de leads, marketing y ofertas comerciales. Separadamente aparece el supuesto patrocinador del premio; sin embargo, en todos los casos estudiados los especialistas no lograron confirmar de forma independiente su participación.

Resulta una construcción inusual. El movimiento de datos personales se puede rastrear, mientras que el origen del smartphone prometido gratis permanece prácticamente opaco. Qurium tampoco encontró confirmaciones públicas de la reserva de premios, auditorías independientes o la garantía de cumplimiento de las obligaciones. Las listas de ganadores y las probabilidades exactas de ganar normalmente tampoco están disponibles.

Entre los operadores recurrentes los especialistas hallaron la británica Time Travel Promotion LP y la chipriota Seven Media Code Ltd. La primera empresa aparecía tras varias marcas de distinto aspecto, entre ellas VerticalMailer, LeadMaid y Admailers. Como propietarios de Time Travel Promotion LP figuran dos estructuras offshore de Seychelles y de las Islas Marshall. Esta ramificación dificulta comprender quién es el responsable final de los datos recopilados.

Las huellas de ambos grupos de sitios condujeron a los investigadores a DataSoft Solutions SA, registrada en Seychelles, cuya relación se remonta al menos a 2011–2012. Qurium vincula a la empresa con campañas masivas de correo y publicidad, así como con la infraestructura para la posterior difusión y reutilización de datos. Los conjuntos publicitarios pueden tener valor más allá del marketing habitual. Con anterioridad se informó cómo la información del ecosistema publicitario permite rastrear dispositivos y reconstruir los desplazamientos de los usuarios.

Las políticas de privacidad de los sorteos examinados revelaron otra parte de la cadena. En las listas de posibles receptores de la información aparecieron decenas de empresas de Bélgica, Dinamarca, Estonia, Francia, Alemania, España, Reino Unido y Estados Unidos. Muchas se dedican al marketing de rendimiento, la generación de leads y ofertas al consumidor. El modelo económico, según estima Qurium, está vinculado ante todo al volumen de contactos recopilados, la posibilidad de reutilizar la información y de transmitirla más adelante.

Comprobar cuán fácil es para una persona detener ese flujo de información resultó complicado. Qurium contactó a 21 empresas de la cadena de marketing. Doce organizaciones, o el 57%, no respondieron o resultaron inaccesibles. Otras ocho, el 38%, pidieron al solicitante que enviara correos publicitarios, identificadores de campañas u otras pruebas. Solo una empresa comunicó que había añadido la dirección de correo electrónico a su lista de exclusiones.

El problema va más allá de los sorteos concretos. Cuantos más intermediarios reciben la información, más difícil resulta para la persona determinar dónde se almacena y a quién dirigir una solicitud de eliminación. La recogida encubierta de datos ya aparece también en productos completamente distintos. Por ejemplo, algunas extensiones de navegador transmitían la correspondencia de los usuarios con la IA a servidores externos.

En el centro de la investigación también apareció la empresa publicitaria noruega Advertis AS y su director Christian Gika. En la respuesta a Qurium, Gika afirmó que Advertis AS opera legalmente en el ámbito de la publicidad digital y la generación de leads, y que la recopilación y el uso comercial de datos de usuarios son permisibles con un consentimiento válido. También subrayó que las consultas dirigidas a diferentes entidades jurídicas deben enviarse a cada organización por separado.

Los autores de la investigación llegaron a la conclusión de que las promociones estudiadas no pueden considerarse como un conjunto de sorteos totalmente independientes. Bajo distintos rótulos se repiten las mismas empresas, la misma infraestructura y los mismos mecanismos de transferencia de información, mientras que la responsabilidad se distribuye entre numerosos participantes de la cadena. Qurium no afirma que los premios nunca se entreguen, pero señala la ausencia de confirmaciones disponibles sobre su garantía en los casos estudiados.

Los sorteos de smartphones funcionan especialmente bien como cebo por el alto precio y la popularidad de los dispositivos Apple. En septiembre los estafadores ya aprovecharon el interés por el iPhone 18 en preórdenes falsas, notificaciones de compras inexistentes y ofertas para reservar el nuevo modelo antes que los demás.

Los propios datos publicitarios se han convertido desde hace tiempo en un recurso valioso independiente. En abril los especialistas detectaron una plataforma que vincula identificadores publicitarios con geolocalización y permite analizar los desplazamientos de hasta 500 millones de dispositivos. El caso de los smartphones gratuitos muestra otro camino hacia ese mismo recurso, cuando la persona deja voluntariamente sus contactos a cambio de un premio atractivo.

En Rusia las cuestiones sobre el almacenamiento y el tratamiento de la información personal también se vuelven cada vez más sensibles. Según la investigación de mercado Privacy, el 57,8% de las empresas encuestadas consideraba las fugas de datos como riesgos notables, y las inspecciones de Roskomnadzor preocupaban al 77,6% de las organizaciones.