Social · Información atribuida

Cuatro SDKs de publicidad en Android comparten ubicación exacta con brokers de datos por defecto

La EFF identificó cuatro SDKs publicitarios que transmiten la ubicación precisa de usuarios Android a terceros sin consentimiento explícito, incluso cuando los desarrolladores no lo configuraron. Algunas apps afectadas superan los 60 millones de descargas combinadas.

Por ViaMind Radar · Publicado 08.08.2026 · 03:55

Fuente: WWWhat’s New · Ver original ↗ · Ver todas las fuentes

Ilustracion contextual ViaMind · no es fotografia del hecho

Lo reportado

El hallazgo de la EFF

Según una investigación de la Electronic Frontier Foundation publicada el 4 de agosto de 2026, cuatro SDKs de publicidad —BidMachine, InMobi, Verve’s HyBid y Huawei’s Petal Ads— transmiten la ubicación exacta de los usuarios de Android a brokers de datos por defecto. El mecanismo es automático: cuando una app obtiene permiso de ubicación, los SDKs integrados heredan ese acceso sin que el desarrollador lo desactive explícitamente.

Desarrolladores y usuarios en la oscuridad

La EFF señala que la mayoría de los desarrolladores integran estos SDKs para monetizar apps gratuitas, pero desconocen que comparten ubicación con terceros. Dos de las aplicaciones analizadas, con más de 60 millones de descargas combinadas, no declararon en Google Play que compartirían datos de ubicación. Esto expone a los usuarios a un rastreo no consentido y erosiona la confianza en el ecosistema de apps.

Estado de evidencia: Esta historia resume información reportada por WWWhat’s New, Electronic Frontier Foundation. Algunos aspectos siguen pendientes de confirmación independiente.

Mirada ViaMind

La investigación de la EFF destapa un eslabón débil en la privacidad móvil: los SDKs publicitarios pueden eludir las decisiones de los desarrolladores y usuarios. Esto obliga a repensar la arquitectura de permisos y la responsabilidad en la cadena de suministro de datos.

Se reveló que cuatro SDKs publicitarios ampliamente usados en Android transmiten ubicación precisa a brokers de datos por defecto, sin que los desarrolladores lo hayan decidido ni los usuarios lo hayan consentido. Esto expone un fallo sistémico en la cadena de suministro de datos móviles: el permiso de ubicación otorgado a una app se extiende automáticamente a todo el código embebido.

El hallazgo erosiona la confianza en las apps y plataformas, y alimenta el debate sobre la necesidad de una regulación más estricta de brokers de datos. Para el ecosistema digital, implica riesgos reputacionales y posibles sanciones si se confirma un patrón de incumplimiento de normas como el GDPR.

Desde la perspectiva de riesgo, este caso ilustra cómo la arquitectura de permisos de Android puede ser explotada sin que los desarrolladores sean conscientes. La EFF documentó que dos apps con más de 60 millones de descargas no declararon el intercambio de ubicación en Google Play, lo que sugiere una brecha entre las políticas de la plataforma y la realidad técnica.

Si los reguladores confirman el patrón, podrían imponerse auditorías obligatorias a los SDKs y nuevas exigencias de transparencia para los desarrolladores. Esto podría encarecer el modelo de apps gratuitas financiadas por publicidad y acelerar la adopción de alternativas de monetización menos dependientes de datos de ubicación.

Para empresas de privacidad y seguridad, surge una oportunidad de ofrecer herramientas de auditoría de SDKs y soluciones de consentimiento granular. También puede impulsar a las plataformas a rediseñar sus sistemas de permisos para aislar el acceso de componentes de terceros.

El riesgo reputacional para las apps y marcas afectadas es inmediato. Si se demuestra que los brokers de datos revenden la ubicación sin base legal, podrían enfrentar demandas colectivas y sanciones bajo el GDPR u otras regulaciones de protección de datos.

Qué seguir

Habrá que observar si Google Play modifica sus requisitos de divulgación para desarrolladores o si las empresas de los SDKs emiten declaraciones públicas. Un indicador concreto será la publicación de auditorías independientes o acciones de enforcement por parte de autoridades de protección de datos en los próximos meses.