Al menos cuatro organizaciones militares de EE.UU. desactivaron los identificadores publicitarios en dispositivos gubernamentales después de que el Comando Central recibiera múltiples reportes de que adversarios usaban datos comerciales de ubicación para identificar como blanco o vigilar a personal en Oriente Medio. El Ejército, la Armada, la Fuerza Aérea y el Comando de Operaciones Especiales de EE.UU. describieron sus contramedidas el viernes, según Reuters. Los cambios cierran una vía de acceso al ecosistema publicitario, pero dejan los rastros generados por aplicaciones, teléfonos personales y señales de red.

La Fuerza Aérea informó que desactivó los identificadores publicitarios en computadoras y teléfonos móviles hace unos dos meses. El Comando de Operaciones Especiales lo hizo recientemente en dispositivos Windows. El Ejército señaló que su bloqueo en Windows es anterior a 2021, mientras que los dispositivos Apple y Android administrados tenían los identificadores desactivados de forma predeterminada desde al menos febrero de 2026. La Armada indicó que su entorno seguro para aplicaciones los desactiva en equipos gubernamentales, pero no precisó cuándo comenzó esa medida de protección.

Las revelaciones marcan el paso de una exposición hipotética a un uso reportado en el campo de batalla. En abril, el Comando Central informó al Congreso que había recibido “múltiples reportes de amenazas” sobre adversarios que explotaban información comercial de ubicación durante la Operación Epic Fury. Un grupo bipartidista de 14 legisladores afirmó que el mercado de datos de consumidores se había convertido en un problema para la protección de las fuerzas. Su advertencia describió datos capaces de revelar dónde se concentran las tropas y cómo se desplazan.

Cómo una herramienta publicitaria se convierte en datos para identificar blancos

Un identificador publicitario móvil es una cadena de caracteres que puede restablecerse y permite que las aplicaciones y empresas de publicidad reconozcan un dispositivo sin mostrar el nombre de su propietario. Combinado con coordenadas y marcas de tiempo recopiladas por aplicaciones o mercados publicitarios, puede convertirse en un registro persistente de desplazamientos. Un comprador que observe el mismo dispositivo en un cuartel, un centro de operaciones y una residencia puede deducir quién es su propietario y dónde trabaja. La agregación de dispositivos puede revelar cambios de turno, puntos de acceso y despliegues inusuales.

La magnitud no es teórica. Una investigación conjunta de WIRED y medios alemanes examinó 3.6 mil millones de coordenadas asociadas con hasta 11 millones de identificadores publicitarios durante 59 días. Los periodistas encontraron datos de hasta 12,313 dispositivos cerca de 11 instalaciones militares y de inteligencia en Alemania. Solo el área de entrenamiento de Grafenwöhr generó más de 191,000 señales vinculadas con hasta 1,257 dispositivos, lo que ilustra cómo los datos masivos revelan rutinas.

Desactivar un identificador limita las vinculaciones a través de la cadena de suministro publicitaria, pero controla una sola señal en lugar de volver invisible un dispositivo. Las aplicaciones pueden recopilar la ubicación mediante permisos del sistema operativo, y los intermediarios de datos pueden combinar direcciones de red, características del dispositivo e información de cuentas. Los teléfonos personales pueden quedar fuera de las configuraciones administradas. El especialista en tecnología de privacidad Zach Edwards afirmó que la medida debería limitar la inclusión en ventas masivas de datos, aunque siguen siendo posibles métodos más complejos de correlación y triangulación.

Las políticas existían antes de los reportes de amenazas más recientes

El Pentágono lleva años advirtiendo sobre los riesgos de los dispositivos móviles. Su política sobre dispositivos móviles de 2023 señala que las aplicaciones pueden poner en riesgo las misiones sin que el usuario lo sepa. Restringe las aplicaciones con funciones de geolocalización en áreas operativas, permite que los sistemas administrados impongan controles y ordena a los componentes desplegar defensas contra amenazas móviles. Sin embargo, el marco se centra en la información y las aplicaciones gubernamentales, mientras que los identificadores publicitarios generan metadatos que parecen inofensivos hasta que son comprados y analizados a gran escala.

Los auditores federales detectaron la misma deficiencia estructural. La Oficina de Rendición de Cuentas del Gobierno determinó que los datos públicos, robados y comercializados por intermediarios pueden formar perfiles que amenazan las operaciones y al personal militar. Su evaluación indicó que el Departamento de Defensa no había establecido una responsabilidad para todo el departamento respecto de la gestión de esa exposición, ni un proceso integral para medir el riesgo. La desactivación de identificadores demuestra que se están tomando medidas, pero no resuelve el problema de gobernanza descrito por los auditores.

Las ramas militares actuaron en plazos distintos y describieron diferentes clases de dispositivos. Los controles de Windows no abarcaban necesariamente los sistemas operativos móviles administrados; un entorno seguro no controla todos los teléfonos personales. Las revelaciones no determinan si existe un criterio básico común para todas las fuerzas. Tampoco aclaran si las restricciones fueron verificadas técnicamente, si los identificadores antiguos permanecen en los archivos de intermediarios de datos y si el personal recibe instrucciones uniformes antes de un despliegue.

Los comandantes han considerado medidas más estrictas. En julio, el jefe del Comando Central advirtió que las fotos y los videos de las tropas podrían ayudar a Irán a evaluar ataques casi en tiempo real. A algunos miembros del personal en Jordania se les informó que sus teléfonos podrían ser confiscados, dijeron fuentes a Reuters. El contenido visible difiere de los metadatos ocultos, pero ambos ponen de manifiesto la tensión entre las comunicaciones útiles y la información que puede acortar el ciclo de identificación de blancos de un adversario.

Los reguladores han considerado sensibles las instalaciones militares

Los reguladores civiles ya han documentado cómo la información de ubicación se desvía de su propósito comercial original. En un caso de 2024, la Comisión Federal de Comercio (FTC) alegó que Mobilewalla recopiló datos de subastas publicitarias en tiempo real y los utilizó para fines distintos de la colocación de anuncios. La orden resultante prohibió vender o usar datos sensibles de ubicación asociados con instalaciones militares, centros de salud, organizaciones religiosas y otros lugares protegidos. El caso demostró que el riesgo puede originarse en la infraestructura publicitaria convencional, no solo entre proveedores especializados en vigilancia.

En mayo de 2026, la FTC anunció una propuesta de acuerdo que prohibiría a Kochava y una subsidiaria vender información sensible de ubicación sin consentimiento expreso. La agencia afirmó que los datos de la empresa abarcaban cientos de millones de dispositivos y podían rastrear movimientos individuales. Ese acuerdo reforzó las salvaguardas en un intermediario de datos, pero las medidas de fiscalización se aplican empresa por empresa. No pueden garantizar que un identificador que ya circula entre intermediarios haya desaparecido ni que todos los vendedores reconozcan una instalación militar como un lugar sensible.

El Programa de Seguridad de Datos del Departamento de Justicia proporciona un mecanismo de respaldo para la seguridad nacional. En vigor desde abril de 2025, restringe las transacciones que dan a países de preocupación acceso a grandes volúmenes de información sensible o relacionada con el gobierno. La norma abarca la geolocalización precisa y trata las ubicaciones gubernamentales especificadas de manera diferente a los umbrales ordinarios para datos masivos. Los reportes del Comando Central siguen mostrando cómo compradores, revendedores y vías de recopilación pueden cruzar fronteras sin una transferencia evidente a un gobierno extranjero identificado.

Lo que no cubre la nueva medida de protección

La prioridad inmediata es verificar cada dispositivo administrado. Las herramientas centralizadas pueden desactivar identificadores, restringir permisos de aplicaciones y señalar configuraciones que incumplan las normas, pero su eficacia depende de la precisión del inventario. El departamento debe saber qué teléfonos, tabletas y computadoras están en uso, incluidos los dispositivos de contratistas o las particiones autorizadas en dispositivos personales. Una configuración predeterminada puede quedar neutralizada por equipos antiguos, actualizaciones de software o excepciones locales, a menos que los administradores la comprueben de forma continua.

Los dispositivos personales constituyen la mayor exposición aún no resuelta. Un miembro de las Fuerzas Armadas puede desactivar la publicidad personalizada, revisar los permisos de las aplicaciones y evitar publicar desde una ubicación operativa, pero la disciplina individual no puede sustituir los controles institucionales. Familiares, trabajadores civiles y contratistas pueden generar patrones superpuestos alrededor de la misma instalación. Un analista decidido no necesita identificar cada teléfono; los cambios en el volumen y los horarios de las señales cerca de una base pueden indicar despliegues, incluso cuando resulte difícil atribuir identificadores individuales.

La prueba es si resulta más difícil identificar blancos

El inspector general del Pentágono tiene ahora una pregunta clara: si años de advertencias se convirtieron en controles antes del uso reportado por parte de adversarios y si las configuraciones reducen la exposición. Las pruebas deberían incluir registros de configuración, tasas de cumplimiento, intentos de equipos rojos de reconstruir los movimientos de las tropas y el tiempo transcurrido entre un reporte de amenaza y un cambio defensivo. La revisión debería distinguir los equipos oficiales de los dispositivos personales, porque el éxito en un teléfono administrado puede coexistir con vulnerabilidades en su entorno.

El Congreso enfrenta una decisión paralela sobre el mercado comercial. Las normas específicas y las medidas de fiscalización han restringido las ventas relacionadas con algunos lugares sensibles y ciertos adversarios extranjeros, pero la economía subyacente aún recompensa la recopilación de datos precisos sobre el comportamiento. Una respuesta integral requeriría límites más claros a la recopilación, la conservación y la reventa, junto con sanciones aplicables a lo largo de toda la cadena de intermediarios que manejan los datos. Sin eso, las Fuerzas Armadas podrían seguir reforzando sus dispositivos mientras los adversarios buscan la siguiente señal desprotegida procedente de aplicaciones, vehículos, dispositivos portátiles o familiares.

Desactivar los identificadores publicitarios es una medida práctica y largamente postergada porque elimina de los equipos gubernamentales un identificador ampliamente utilizado. También supone reconocer que la tecnología de seguimiento de consumidores ha entrado en el campo de batalla. La medida duradera del éxito no será cuántas configuraciones se cambiaron, sino si compradores hostiles aún pueden adquirir suficientes datos comerciales para mapear la ubicación y los movimientos del personal estadounidense, predecir sus rutinas o perfeccionar un ataque. Según ese criterio, las revelaciones del viernes marcan el comienzo de un programa de protección de las fuerzas, no su culminación.