Ciberseguridad: descubierta una grave «zona ciega» en la privacidad de los routers domésticos

Los analistas del centro de investigación internacional Cybernews han estudiado las políticas de privacidad de 25 grandes fabricantes de routers domésticos en el mercado estadounidense y se han topado con un problema inesperado. Resulta que, aunque las marcas tecnológicas detallan cómo recopilan los datos personales de los usuarios, a menudo guardan silencio o dan información vaga sobre qué información recopilan los propios dispositivos. La falta de transparencia en estos dispositivos, que actúan como puerta de enlace principal para todos los datos que pasan por la red doméstica, preocupa a los expertos en seguridad digital. Así lo informa Ixbt.com informa .

Cabe señalar que, según ixbt.com, este estudio no verificó la actividad técnica real de los dispositivos, es decir, el tráfico de red, el firmware o el comportamiento del hardware. Los expertos solo evaluaron los documentos legales públicos y las políticas de privacidad de los fabricantes. El problema principal es que la mayoría de las marcas no redactan documentos específicos para los routers. En su lugar, aplican una política general única destinada a tiendas en línea, aplicaciones móviles, servicios en la nube, cámaras de vigilancia y dispositivos de hogar inteligente.

Las consultas DNS y el tráfico de Internet permanecen secretos

Uno de los resultados más notables del estudio se refiere a las consultas DNS. Ninguno de los 25 fabricantes analizados indicó explícitamente si su router registra los accesos del usuario a los nombres de dominio. Aunque el tráfico DNS no revela el contenido exacto de las páginas web, el historial de acceso a dominios puede decir mucho sobre los hábitos, intereses y actividad del usuario.

La misma incertidumbre reina respecto al análisis del tráfico de Internet. Los documentos de 20 empresas no dan una respuesta clara sobre el uso o no de la tecnología Deep Packet Inspection (DPI):

• Google Nest y Ubiquiti Cloud han declarado abiertamente que no utilizan dicho análisis.
• Amazon Eero, MSI Radix y AT&T Turbo Hotspot no excluyen la posibilidad de utilizar esta tecnología en ciertas configuraciones.

Sin embargo, el proceso de recopilación de datos personales simples, como la dirección de correo electrónico o el nombre de cuenta, está mucho más detallado en los documentos. El 84 % de las empresas declaran recopilar correos electrónicos, y casi la mitad indica obtener directamente cuatro categorías de datos: nombre, correo electrónico, número de teléfono y dirección postal.

Geolocalización y resultados de la evaluación

Los investigadores también se centraron en la geolocalización precisa del dispositivo y los datos de las redes Wi-Fi circundantes. Siete empresas declararon permitir la determinación de la posición exacta del dispositivo, mientras que otras seis indicaron hacerlo bajo ciertas condiciones. Los identificadores de los puntos de acceso Wi-Fi cercanos (SSID y BSSID), que pueden ayudar a determinar la ubicación física, solo fueron mencionados explícitamente por D-Link y Amazon Eero.

Para evaluar el nivel de duda e incertidumbre, Cybernews asignó a cada marca una puntuación en una escala de 0 a 66. Según los resultados, las puntuaciones más altas fueron obtenidas por D-Link (56), Omada / TP-Link (55), Amazon Eero (53), así como Xiaomi Mesh, Wyze y Cudy (52 puntos cada uno). Las puntuaciones más bajas correspondieron a las marcas Asus (34), MSI Radix (38) y Google Nest (39).

Los expertos subrayan que esta clasificación no evalúa los routers más privados, sino el nivel de transparencia de los documentos legales de las empresas. Sin embargo, para dispositivos por los que pasa todo el tráfico de una red doméstica, tal incertidumbre legal plantea serias dudas sobre la seguridad de la privacidad de los usuarios comunes.