El ecosistema tecnológico que sostiene buena parte de la publicidad digital permite recopilar, cruzar y comercializar información capaz de revelar los movimientos, hábitos, relaciones y lugares frecuentados por periodistas. Datos generados inicialmente para segmentar anuncios pueden terminar utilizándose para identificar reporteros, reconstruir sus desplazamientos y descubrir con quién se reúnen, lo que abre una nueva dimensión de riesgo para la protección de las fuentes.
La amenaza no procede únicamente de programas espía diseñados específicamente para atacar teléfonos móviles. La propia infraestructura comercial de aplicaciones, plataformas publicitarias, identificadores móviles y corredores de datos ha creado una capacidad de seguimiento masivo que puede ser adquirida y reutilizada por gobiernos, fuerzas de seguridad, empresas privadas o servicios de inteligencia.
Es una de las principales conclusiones de un amplio informe publicado por el Comité para la Protección de los Periodistas (CPJ), elaborado por Jonathan Rozen, subdirector de Investigación y Análisis de la organización, que analiza cómo las tecnologías asociadas a la publicidad en internet están generando nuevos riesgos de vigilancia para periodistas de todo el mundo.
Identificar personas concretas y reconstruir una parte significativa de sus movimientos cotidianos
Uno de los casos recogidos en el estudio muestra hasta qué punto esta información puede llegar a identificar personas concretas. El periodista belga Nicolas Baudoux obtuvo gratuitamente de un corredor de datos una muestra correspondiente a dos semanas de 2025 que contenía información de alrededor de un millón de dispositivos y unos 100 millones de localizaciones. A partir de esos registros fue posible identificar personas concretas y reconstruir una parte significativa de sus movimientos cotidianos.
El periodista alemán Ingo Dachwitz, de netzpolitik.org, encontró incluso sus propios datos dentro de una muestra similar. Había autorizado a una aplicación meteorológica a conocer su ubicación, pero comprobar posteriormente que esos movimientos habían terminado formando parte de una base de datos comercial le permitió constatar personalmente el alcance del sistema.
Buena parte de esta infraestructura se construyó para mejorar la eficacia de la publicidad digital. Aplicaciones y páginas web recopilan continuamente información sobre sus usuarios para determinar qué anuncios mostrarles y cuánto pueden pagar los anunciantes para alcanzar determinados perfiles.
El problema aparece cuando esos mismos datos abandonan el contexto publicitario para entrar en otros mercados. La información sobre localización, intereses, empleo, hábitos, navegación o características personales puede ser vendida posteriormente a intermediarios que la combinan con otras bases de datos hasta construir perfiles extremadamente precisos.
El informe identifica varios componentes fundamentales de este ecosistema: los kits de desarrollo de software integrados en aplicaciones, conocidos como SDK; los sistemas de subasta publicitaria en tiempo real o RTB; las grandes compañías tecnológicas; los corredores de datos; las empresas especializadas en inteligencia publicitaria y, en un nivel todavía más avanzado, compañías capaces de aprovechar anuncios para distribuir programas espía.
Los SDK incluidos en miles de aplicaciones pueden recoger información directamente de los dispositivos. Algunos proporcionan datos de ubicación que posteriormente son utilizados por empresas especializadas en publicidad o vendidos a terceros.
Al mismo tiempo, los sistemas de subasta publicitaria en tiempo real transmiten información sobre un usuario cada vez que este abre determinadas páginas web o aplicaciones. Antes de que aparezca un anuncio, numerosos actores pueden recibir información sobre ese dispositivo para decidir cuánto están dispuestos a pagar por mostrar publicidad.
El usuario puede no conocer qué empresas reciben esos datos ni qué ocurre posteriormente con la información una vez que ha circulado dentro del mercado publicitario.
Sara Geoghegan, abogada principal del Electronic Privacy Information Center, explica en el informe que los perfiles utilizados en estas subastas pueden contener información sobre localización, empleo, afiliaciones políticas o incluso cuestiones relacionadas con la salud.
El identificador publicitario no garantiza anonimato
Los datos transmitidos por los teléfonos no suelen llevar directamente el nombre del propietario. En su lugar utilizan identificadores publicitarios asociados a cada dispositivo.
Pero la Comisión Federal de Comercio de Estados Unidos ha advertido de que estos identificadores no proporcionan realmente anonimato. Cuando el identificador publicitario de un dispositivo puede relacionarse con una persona concreta, resulta posible seguir posteriormente su actividad y localizarla mediante los sistemas publicitarios.
Investigadores de la Universidad de Washington ya demostraron que era posible utilizar la infraestructura de publicidad programática para enviar anuncios a dispositivos específicos y comprobar su presencia en determinadas ubicaciones.
El riesgo adquiere especial importancia para periodistas de investigación. Una persona que pretenda proteger una fuente puede decidir evitar llamadas, correos electrónicos o aplicaciones de mensajería y reunirse físicamente con ella. Sin embargo, si ambos teléfonos generan continuamente información de localización, el análisis posterior de esos datos puede permitir detectar que dos dispositivos coincidieron repetidamente en determinados lugares y horarios.
De esta manera, una infraestructura diseñada para conocer mejor al consumidor puede terminar funcionando como una herramienta indirecta para identificar relaciones entre periodistas y fuentes.
Un mercado de empresas especializadas en rastrear personas
El informe del CPJ presta especial atención al creciente mercado de empresas de inteligencia publicitaria, conocidas como compañías de ADINT, que transforman los datos procedentes del ecosistema publicitario en herramientas específicamente diseñadas para localizar dispositivos.
El periodista de Le Monde Martin Untersinger documentó en 2025 la existencia de más de una docena de compañías que utilizaban datos publicitarios para ofrecer servicios capaces de localizar dispositivos casi en tiempo real o reconstruir sus desplazamientos históricos.
Estas plataformas convierten enormes cantidades de información comercial dispersa en herramientas de vigilancia mucho más sencillas de utilizar para policías, servicios de inteligencia o investigadores privados.
Uno de los ejemplos examinados es Webloc, un producto de la empresa estadounidense Penlink que, según una investigación publicada por Citizen Lab, funciona como un sistema global de geolocalización basado en información comprada a aplicaciones y compañías de publicidad digital.
Citizen Lab encontró indicios de que clientes de esta tecnología habían incluido servicios de inteligencia húngaros, organismos policiales de El Salvador y agencias militares y de seguridad estadounidenses. También detectó posibles usos del sistema en países como Alemania, Austria, Italia, Rumanía, Emiratos Árabes Unidos, Israel, Singapur y Rusia.
Penlink sostiene que sus proveedores obtienen el consentimiento de los usuarios para compartir datos y asegura disponer de mecanismos destinados a evitar usos incompatibles con los derechos humanos. La compañía afirma también que sus contratos prohíben expresamente utilizar sus productos para perseguir periodistas.
Periodistas localizados incluso después de exiliarse
El riesgo tampoco desaparece cuando un periodista abandona el país donde sufre amenazas.
El informe recoge el caso de la periodista egipcia Basma Mostafa, que vive exiliada en Berlín después de haber sido perseguida y amenazada. Una muestra comercial de datos analizada por medios alemanes permitió reconstruir su patrón de movimientos, incluyendo su domicilio y otros lugares que visitaba habitualmente.
La disponibilidad internacional de estas bases de datos convierte potencialmente la vigilancia comercial en una herramienta de represión transnacional contra periodistas que trabajan desde el exilio.
Los investigadores consultados por el CPJ señalan además que resulta extremadamente difícil demostrar cuándo una persona ha sido vigilada utilizando este tipo de información. A diferencia del spyware tradicional, la consulta de una base de datos comercial puede no dejar ninguna evidencia dentro del dispositivo de la víctima.
Anuncios capaces de distribuir programas espía
El informe analiza también una evolución todavía más preocupante: la posibilidad de utilizar la propia publicidad digital para introducir spyware en dispositivos seleccionados.
Investigaciones publicadas en los últimos años por Haaretz, Amnesty International y Google han documentado el desarrollo de tecnologías que combinan sistemas publicitarios con herramientas de infección.
El procedimiento comienza identificando el dispositivo de una persona dentro del ecosistema publicitario. Posteriormente, el atacante intenta asegurarse de que un anuncio específico sea enviado a ese teléfono. La visualización del anuncio puede utilizarse entonces como punto de entrada para conectar el dispositivo con infraestructura controlada por el operador del programa espía.
Intellexa, compañía vinculada al spyware Predator, ha desarrollado una tecnología denominada Aladdin basada en este planteamiento. Haaretz ha informado además de que otras empresas israelíes han trabajado en sistemas similares.
Los investigadores consultados por el CPJ advierten, no obstante, de que todavía no existen casos públicos confirmados de periodistas infectados mediante este procedimiento. Algunos expertos consideran además que la probabilidad de una infección directa a través de un anuncio sigue siendo relativamente baja.
El riesgo más inmediato puede encontrarse en otro punto: utilizar primero los datos comerciales para conocer los hábitos, intereses y movimientos de una persona y emplear posteriormente esa información para diseñar ataques mucho más convincentes.
La inteligencia artificial amplifica el problema
La expansión de la inteligencia artificial puede aumentar todavía más la capacidad de explotación de estas bases de datos.
Los sistemas de IA permiten procesar enormes cantidades de registros, relacionar fuentes diferentes e identificar patrones que anteriormente requerían recursos humanos y técnicos mucho mayores. La combinación entre datos comerciales masivos e inteligencia artificial reduce considerablemente el coste de identificar personas, reconstruir relaciones y detectar comportamientos relevantes.
Relatores especiales de Naciones Unidas han advertido durante 2026 de que los sistemas de inteligencia artificial están intensificando las amenazas derivadas de la vigilancia al permitir recopilar y analizar cantidades de información sin precedentes.
El senador estadounidense Ron Wyden también ha alertado del peligro de que organismos públicos compren información sobre ciudadanos sin orden judicial y posteriormente utilicen inteligencia artificial para analizarla.
Los medios también forman parte del problema
El informe plantea finalmente una cuestión especialmente incómoda para la propia industria periodística.
Gran parte de los medios digitales dependen todavía de modelos publicitarios basados en sistemas de segmentación, subastas programáticas y recopilación de información sobre sus lectores.
Esto significa que las aplicaciones y páginas web de los propios medios pueden participar en las mismas cadenas de datos que posteriormente generan riesgos para los periodistas.
Sebastian Meineck, editor de netzpolitik.org, lo resume como una “verdad incómoda”: las organizaciones periodísticas pueden formar parte del problema mientras sigan participando en determinados mecanismos de publicidad digital.
La protección de periodistas y fuentes deja así de ser únicamente una cuestión de seguridad informática individual y pasa también a depender de las decisiones tecnológicas y comerciales que adopten las propias empresas periodísticas.
El estudio del CPJ señala que limitar permisos de localización, reducir el seguimiento publicitario y revisar cuidadosamente las aplicaciones instaladas puede disminuir algunos riesgos. Sin embargo, también advierte de que las medidas individuales tienen un alcance limitado ante un ecosistema diseñado para recopilar y comercializar datos de forma permanente.
El resultado es una paradoja cada vez más difícil de ignorar para el sector: la infraestructura que durante años ha ayudado a financiar gratuitamente buena parte del periodismo digital puede haberse convertido también en una de las mayores redes disponibles para vigilar a quienes lo ejercen.
