Por qué las direcciones MAC se utilizan para el rastreo
La dirección MAC (Media Access Control address) es una dirección física de 48 bits asignada a la interfaz de red. Este identificador, que tu dispositivo transmite cada vez que se conecta a una red Wi-Fi, funciona como un identificador semipermanente vinculado al hardware del dispositivo, a diferencia de la dirección IP.
Los puntos de acceso Wi-Fi instalados en centros comerciales, aeropuertos y estaciones pueden recopilar direcciones MAC de las solicitudes de sondeo Wi-Fi (probe requests) emitidas por los dispositivos cercanos, independientemente de si están conectados o no. El rastreo de ubicación que utiliza este mecanismo registra continuamente tus patrones de movimiento sin que te des cuenta.
Cómo funcionan las solicitudes de sondeo Wi-Fi
Los smartphones y portátiles envían constantemente solicitudes de sondeo (probe requests) cuando el Wi-Fi está activado. Se trata de tramas de difusión que buscan "¿hay algún punto de acceso disponible?" y contienen la siguiente información:
- Dirección MAC de origen
- SSIDs de redes a las que se conectó anteriormente (Preferred Network List)
- Estándares de comunicación y velocidades soportadas por el dispositivo
El problema es que estas solicitudes de sondeo se transmiten sin cifrar. Cualquier receptor dentro de un radio de varias decenas de metros puede interceptarlas y registrar la dirección MAC. Incluso sin estar conectado a una red Wi-Fi, el simple hecho de tener la función Wi-Fi activada te convierte en objetivo de rastreo.
Qué se puede deducir de las solicitudes de sondeo
Solo con la recopilación de direcciones MAC, se puede estimar la siguiente información:
- Tiempo de permanencia y frecuencia de visitas de un dispositivo específico (patrones de aparición de la misma dirección MAC)
- Rutas de desplazamiento (detección de la misma dirección MAC en múltiples puntos con sensores)
- Fabricante del dispositivo (los 24 bits superiores de la dirección MAC están registrados como OUI en el IEEE)
- Nombres de redes Wi-Fi a las que se conectó anteriormente (filtración de SSID)
La realidad del rastreo por dirección MAC en establecimientos comerciales
En el sector minorista, el análisis de visitas mediante direcciones MAC está ampliamente extendido. Los sensores Wi-Fi instalados en las tiendas recopilan direcciones MAC de los smartphones de los visitantes y generan los siguientes datos:
- Conteo en tiempo real de visitantes
- Análisis de flujo dentro de la tienda (cuánto tiempo se permaneció en cada sección)
- Medición de la tasa de retorno (frecuencia de revisitas de la misma dirección MAC)
- Análisis de superposición de visitantes con tiendas competidoras cercanas
Este tipo de análisis lo ofrecen como servicio proveedores especializados en medir la afluencia de visitantes. Ese mercado se reordena constantemente a base de adquisiciones: ShopperTrak, conocido durante años por el conteo de visitantes en tienda, quedó integrado en la marca Sensormatic Solutions. La medición sobrevive a la empresa que la opera, y el visitante casi nunca recibe una señal de que lo están contando.
Rastreo en espacios públicos
No se limita a establecimientos comerciales: la recopilación de direcciones MAC también se realiza en aeropuertos, estaciones de tren, recintos de eventos e incluso sensores de ciudades inteligentes instalados en las calles. El metro de Londres puso en marcha en 2016 una prueba que analizaba el movimiento de los pasajeros a partir de los datos de conexión Wi-Fi de las estaciones, y la autoridad de transporte publicó después una revisión con los resultados de aquel ensayo. Conocer la aglomeración le sirve al operador, pero la asimetría persiste: el pasajero no puede ver que su dispositivo está siendo contado.
Aleatorización de direcciones MAC - medidas a nivel de SO y sus limitaciones
Apple (desde iOS 14), Google (desde Android 10) y Microsoft (desde Windows 10) han implementado funciones que aleatorizan la dirección MAC que el dispositivo usa al conectarse a una red. La aleatorización durante el escaneo llegó antes y se fue introduciendo por etapas, de modo que hoy quedan menos situaciones en las que la dirección MAC real se expone tal cual.
Métodos de aleatorización
| Sistema | Compatible desde | Cómo funciona la aleatorización | Estado por defecto y dónde comprobarlo |
|---|---|---|---|
| iOS | iOS 14 o posterior | Genera una dirección MAC aleatoria única por red y utiliza siempre la misma dirección aleatoria para esa red (aleatorización por red) | Se comprueba en Ajustes → Wi-Fi → Red → Dirección Wi-Fi privada |
| Android | Android 10 o posterior | Desde Android 10 la MAC aleatoria por red es la opción predeterminada y, desde Android 12, en las redes abiertas que cumplen ciertas condiciones se usa además un modo no persistente que regenera la dirección cada cierto tiempo | Activada por defecto desde Android 10. Se comprueba en Ajustes → Red → Wi-Fi → MAC aleatoria |
| Windows | Windows 10 o posterior | Permite configurar direcciones MAC aleatorias por red | Puede requerir activación manual |
Limitaciones de la aleatorización
La aleatorización de direcciones MAC no es infalible. El rastreo puede seguir siendo posible a través de las siguientes vías:
- Dirección MAC fija tras la conexión: muchos sistemas operativos continúan usando la misma dirección MAC aleatoria para una red a la que ya se conectaron. Dentro de esa red, el rastreo sigue siendo posible
- Entropía de información en las solicitudes de sondeo: la trama transporta pistas más allá de la dirección MAC. Al juntar la combinación de estándares soportados, los números de secuencia de tramas y el orden de los elementos de información, sigue quedando margen para vincular un dispositivo consigo mismo aunque su dirección MAC rote
- Filtración de SSID: algunos dispositivos incluyen SSIDs de redes anteriores en las solicitudes de sondeo. Si se incluye un SSID único (como el nombre de tu Wi-Fi doméstico), se puede identificar a la persona aunque cambie la dirección MAC
- Correlación con Bluetooth: si la dirección MAC de Bluetooth no está aleatorizada, la observación simultánea de Wi-Fi y Bluetooth permite identificar el dispositivo real
Medidas de defensa prácticas
Medidas básicas
- Desactivar Wi-Fi y Bluetooth cuando no se estén usando. Esta es la medida más fiable
- Verificar que la aleatorización de direcciones MAC del SO esté activada (iOS: Ajustes → Wi-Fi → Red → Dirección Wi-Fi privada; Android: Ajustes → Red → Wi-Fi → MAC aleatoria)
- Eliminar conexiones guardadas de redes Wi-Fi innecesarias para prevenir la filtración de SSID
- Desactivar la conexión automática a redes Wi-Fi públicas
Medidas avanzadas
- Usar una VPN para proteger el contenido de las comunicaciones de la red a la que te conectas
- Combinar con medidas contra la huella digital del navegador para dificultar el rastreo en múltiples capas
- Usar una funda Faraday (estuche de bloqueo de señal) para bloquear físicamente la transmisión y recepción de señales
- Usar un SO enfocado en la privacidad (como GrapheneOS). GrapheneOS cuenta con la función de aleatorizar la dirección MAC en cada conexión
Verifica tu estado
Comprueba tu información de conexión actual en IP Check-san, comprende los riesgos del Wi-Fi público y toma las medidas apropiadas. El rastreo por dirección MAC es una vía independiente del rastreo por dirección IP, por lo que es importante defenderse en múltiples capas junto con las medidas contra el rastreo publicitario.
Tendencias regulatorias
La regulación sobre la recopilación de direcciones MAC varía significativamente según la región:
- UE (RGPD): la interpretación predominante es que las direcciones MAC constituyen datos personales. Su recopilación requiere una base legal (consentimiento o interés legítimo)
- Japón (Ley de Protección de Información Personal): una dirección MAC por sí sola no se clasifica como información personal, pero puede serlo si puede cruzarse fácilmente con otra información para identificar a un individuo. La reforma que entró plenamente en vigor en abril de 2022 añadió un marco para la "información relacionada con la persona": cuando se facilitan cookies o identificadores de dispositivos a un tercero del que se prevé que los recibirá como datos personales, quien los envía debe confirmar que se ha obtenido el consentimiento de la persona
- Estados Unidos: no existe una regulación federal integral, pero la CCPA/CPRA de California incluye los identificadores de dispositivos como información personal
Independientemente de la existencia de regulaciones, es importante ser consciente de gestionar la información que emite tu propio dispositivo.
Conclusión
La dirección MAC es un identificador físico que opera en una capa diferente a la dirección IP. Con solo llevar un dispositivo con Wi-Fi activado, existe la posibilidad de que sensores en establecimientos comerciales y espacios públicos registren tus patrones de comportamiento.
La aleatorización de direcciones MAC a nivel de SO es un avance importante, pero no constituye una defensa completa. Es necesaria una defensa en profundidad que combine desactivar Wi-Fi y Bluetooth cuando no se usen, organizar las redes guardadas y usar VPN. Comienza verificando tu información de red en IP Check-san para comprender hasta dónde es visible tu huella digital.
Términos del glosario relacionados
Preguntas frecuentes
¿Qué se puede rastrear a través de las direcciones MAC?
Cuando el Wi-Fi está activado, tu dispositivo difunde continuamente solicitudes de sondeo que contienen su dirección MAC. Los comercios y los espacios públicos pueden usarlas para rastrear patrones de tráfico de personas, frecuencia de visitas, tiempo de permanencia y rutas de movimiento entre ubicaciones.
¿La aleatorización de la dirección MAC evita el rastreo?
iOS 14 y posteriores y Android 10 y posteriores aleatorizan las direcciones MAC, pero no es una defensa completa. Existen técnicas para eludir la aleatorización: la dirección aleatorizada suele mantenerse fija para cada red a la que te conectas, las solicitudes de sondeo siguen aportando entropía identificable, los SSID pueden filtrarse y es posible correlacionar con señales Bluetooth.
¿Cuál es la forma más fiable de evitar el rastreo por dirección MAC?
El método más eficaz es apagar el Wi-Fi cuando no lo necesitas. Además, borra periódicamente tu lista de redes guardadas, evita conectarte a redes abiertas y mantén tu sistema operativo actualizado para beneficiarte de las últimas mejoras de aleatorización.