Al menos cuatro organizaciones militares estadounidenses han desactivado los identificadores publicitarios en dispositivos gubernamentales tras recibir el Comando Central múltiples informes de que adversarios utilizaron datos de localización comerciales para espiar o vigilar a personal en Oriente Medio. El Ejército, la Armada, la Fuerza Aérea y el Comando de Operaciones Especiales de EE. UU. describieron sus contramedidas el viernes, según Reuters. Estos cambios cierran una vía de acceso al ecosistema publicitario, pero dejan rastros generados por aplicaciones, teléfonos personales y señales de red.
La Fuerza Aérea declaró que desactivó los identificadores publicitarios en computadoras y teléfonos móviles hace aproximadamente dos meses. El Comando de Operaciones Especiales hizo lo mismo recientemente en dispositivos Windows. El Ejército indicó que su bloqueo en Windows data de antes de 2021, mientras que los dispositivos Apple y Android administrados tienen los identificadores deshabilitados por defecto desde al menos febrero de 2026. La Armada afirmó que su entorno de aplicaciones seguras los desactiva en equipos gubernamentales, pero no especificó cuándo comenzó esta medida de seguridad.
Estas revelaciones marcan un cambio de la exposición hipotética al uso documentado en el campo de batalla. En abril, el Comando Central informó al Congreso que había recibido "múltiples informes de amenazas" sobre adversarios que explotaban información comercial de localización durante la Operación Furia Épica. Un grupo bipartidista de 14 legisladores afirmó que el mercado de datos de consumo se había convertido en un problema para la protección de las fuerzas armadas. Su advertencia describía datos capaces de revelar dónde se reúnen las tropas y cómo se desplazan.
Cómo una herramienta publicitaria se convierte en datos de segmentación
Un identificador de publicidad móvil es una cadena reiniciable que permite a las aplicaciones y a las empresas de publicidad reconocer un dispositivo sin mostrar el nombre de su propietario. Combinado con las coordenadas y las marcas de tiempo recopiladas por las aplicaciones o las plataformas publicitarias, puede convertirse en un mapa de movimientos persistente. Un comprador que observe el mismo dispositivo en un cuartel, un centro de operaciones y una residencia puede deducir quién es su propietario y su lugar de trabajo. La agregación de dispositivos puede revelar cambios de turno, puntos de entrada y despliegues inusuales.
La magnitud no es teórica. Una investigación conjunta de WIRED y medios alemanes analizó 3.600 millones de coordenadas asociadas a hasta 11 millones de identificadores publicitarios durante 59 días. Los periodistas encontraron datos de hasta 12.313 dispositivos cerca de 11 bases militares y de inteligencia en Alemania. Solo el campo de entrenamiento de Grafenwöhr generó más de 191.000 señales vinculadas a hasta 1.257 dispositivos, lo que demuestra cómo los puntos de datos masivos revelan rutinas.
Desactivar un identificador limita los vínculos en la cadena de suministro publicitario, pero controla una señal en lugar de hacer invisible un dispositivo. Las aplicaciones pueden recopilar información de ubicación mediante permisos del sistema operativo, y los intermediarios pueden combinar direcciones de red, características del dispositivo e información de la cuenta. Los teléfonos personales pueden quedar fuera de la configuración administrada. El experto en privacidad Zach Edwards afirmó que esta medida debería limitar la inclusión en ventas masivas de datos, aunque siguen siendo posibles correlaciones y triangulaciones más complejas.
Las políticas ya existían antes de los últimos informes de amenazas
El Pentágono lleva años advirtiendo sobre los riesgos de los dispositivos móviles. Su política móvil establece que las aplicaciones pueden poner en peligro las misiones sin que el usuario lo sepa. Restringe las aplicaciones con capacidad de geolocalización en las zonas operativas, permite que los sistemas gestionados apliquen controles y ordena a los componentes que implementen defensas contra amenazas móviles. Sin embargo, el marco se centra en la información y las aplicaciones gubernamentales, mientras que los identificadores publicitarios generan metadatos que parecen insignificantes hasta que se compran y analizan a gran escala.
Los auditores federales identificaron la misma deficiencia estructural. La Oficina de Responsabilidad Gubernamental (GAO) determinó que los datos públicos, robados y comercializados pueden generar perfiles que ponen en peligro las operaciones y el personal militar. Su evaluación indicó que el Departamento de Defensa no había establecido una responsabilidad a nivel departamental para gestionar dicha exposición ni un proceso integral para medir el riesgo. Deshabilitar los identificadores demuestra que se está actuando, pero no resuelve el problema de gobernanza descrito por los auditores.
Los servicios se desarrollaron con plazos diferentes y describieron distintas clases de dispositivos. Los controles de Windows no necesariamente abarcaban los sistemas operativos móviles gestionados; un contenedor seguro no rige todos los teléfonos personales. La información divulgada no establece si se aplica un mismo criterio a toda la fuerza. Tampoco aclara si las restricciones se verificaron técnicamente, si los identificadores antiguos permanecen en los archivos de los intermediarios y si el personal recibe instrucciones uniformes antes de su despliegue.
Los comandantes han considerado medidas más estrictas. En julio, el jefe del Comando Central advirtió que las fotos y videos de las tropas podrían ayudar a Irán a evaluar los ataques casi en tiempo real. Según fuentes consultadas por Reuters. El contenido visible difiere de los metadatos ocultos, pero ambos evidencian la tensión entre las comunicaciones útiles y la información que puede acortar el ciclo de ataque de un adversario.
Los reguladores han tratado las instalaciones militares como zonas sensibles
Los organismos reguladores civiles ya han documentado cómo la información de ubicación se desvía de su propósito comercial original. En un caso de 2024, la Comisión Federal de Comercio alegó que Mobilewalla recopiló datos de subastas de publicidad en tiempo real y los utilizó para fines distintos a la publicación de anuncios. La orden prohibió la venta o el uso de datos de ubicación confidenciales asociados con instalaciones militares, clínicas, organizaciones religiosas y otros lugares protegidos. El caso demostró que el riesgo puede originarse en la infraestructura publicitaria común, no solo en proveedores especializados en vigilancia.
En mayo de 2026, la FTC anunció un acuerdo propuesto que prohibía a Kochava y a una filial vender información de ubicación sensible sin consentimiento expreso. La agencia afirmó que los datos de la empresa abarcaban cientos de millones de dispositivos y podían rastrear los movimientos individuales. Dicho acuerdo reforzó las medidas de seguridad en un intermediario, pero las acciones coercitivas se aplican empresa por empresa. No pueden garantizar que un identificador que ya circula a través de intermediarios haya desaparecido ni que todos los vendedores reconozcan una ubicación militar como sensible.
El Programa de Seguridad de Datos del Departamento de Justicia constituye una salvaguarda para la seguridad nacional. Vigente desde abril de 2025, restringe las transacciones que otorgan a países de interés acceso a grandes cantidades de información confidencial o relacionada con el gobierno. La norma abarca la geolocalización precisa y trata las ubicaciones gubernamentales específicas de manera diferente a los umbrales habituales de acceso a grandes cantidades de información. Los informes del Comando Central aún muestran cómo compradores, revendedores y redes de recolección pueden cruzar fronteras sin una entrega evidente a un gobierno extranjero específico.
Lo que no cubre la nueva medida de protección
La prioridad inmediata es verificar cada dispositivo administrado. Las herramientas centralizadas pueden deshabilitar identificadores, restringir permisos de aplicaciones y marcar configuraciones que no cumplen con los requisitos, pero su eficacia depende de la precisión del inventario. El departamento debe saber qué teléfonos, tabletas y computadoras están en uso, incluidos los dispositivos de contratistas o las particiones de dispositivos personales autorizadas. Una configuración predeterminada puede verse afectada por hardware obsoleto, actualizaciones de software o excepciones locales, a menos que los administradores la prueben continuamente.
Los dispositivos personales representan la mayor vulnerabilidad sin resolver. Un miembro del servicio puede desactivar la publicidad personalizada, revisar los permisos de las aplicaciones y evitar publicar desde una ubicación operativa, pero la disciplina individual no puede sustituir los controles institucionales. Los familiares, los trabajadores civiles y los contratistas pueden generar patrones superpuestos en torno a la misma instalación. Un analista perseverante no necesita identificar cada teléfono; los cambios en el volumen y la frecuencia de las señales cerca de una base pueden indicar despliegues incluso cuando resulta difícil atribuir identificadores individuales.
La prueba consiste en determinar si la selección de objetivos se vuelve más difícil
El inspector general del Pentágono ahora tiene una pregunta clara: si años de advertencias se convirtieron en controles antes del uso por parte del adversario, y si la configuración reduce la exposición. Las pruebas deben incluir registros de configuración, tasas de cumplimiento, intentos de equipos de simulación de ataques para reconstruir los movimientos de tropas y el tiempo transcurrido entre el informe de la amenaza y el cambio en las medidas de seguridad. La revisión debe distinguir entre el equipo oficial y los dispositivos personales, ya que el éxito en un dispositivo gestionado puede coexistir con la vulnerabilidad en su entorno.
El Congreso se enfrenta a una disyuntiva similar en el mercado comercial. Si bien las normas y su aplicación han restringido las ventas en ciertas zonas sensibles y a determinados adversarios extranjeros, la economía subyacente sigue premiando la recopilación de datos de comportamiento precisos. Una solución integral requeriría límites más claros a la recopilación, retención y reventa de datos, además de sanciones que los acompañen a través de intermediarios. Sin esto, las fuerzas armadas podrían seguir reforzando la seguridad de sus dispositivos mientras los adversarios buscan la próxima señal vulnerable proveniente de aplicaciones, vehículos, dispositivos portátiles o familiares.
Deshabilitar los identificadores publicitarios es una medida práctica y necesaria, ya que elimina un identificador ampliamente utilizado en los equipos gubernamentales. También supone un reconocimiento de que la tecnología de seguimiento de consumidores ha entrado en el campo de batalla. El verdadero éxito no radicará en la cantidad de configuraciones modificadas, sino en si los compradores hostiles aún pueden adquirir suficientes datos comerciales para identificar al personal estadounidense, predecir sus rutinas o perfeccionar un ataque. En ese sentido, las revelaciones del viernes marcan el inicio de un programa de protección de las fuerzas armadas, no su culminación.
