El IoT espionaje en casos reales tiene nombre, apellidos y, en algunos casos, sentencias judiciales. Los dispositivos conectados que compramos para hacer la vida más cómoda, desde cámaras de seguridad hasta muñecos infantiles, han registrado conversaciones, filtrado imágenes y enviado datos a servidores que sus dueños jamás imaginaron. No como teoría, sino como hechos documentados con fechas y víctimas concretas.
La promesa del Internet de las Cosas siempre fue atractiva: electrodomésticos que se anticipan a tus necesidades, hogares que se gestionan solos, wearables que cuidan tu salud. Lo que nadie explicaba en el manual de instrucciones es que toda esa inteligencia requiere datos, y que esos datos tienen que ir a algún sitio.
¿Qué objetos cotidianos te han espiado sin que lo supieras?
Las cámaras de seguridad domésticas son el caso más repetido y, probablemente, el más grave en términos de privacidad. Ring, la empresa de Amazon, lleva años en el centro de la polémica. Entre 2019 y 2020 se documentaron decenas de incidentes en los que atacantes accedieron a las cámaras de familias en Estados Unidos y se comunicaron con ellas a través del altavoz integrado. En Tennessee, un hombre se conectó a la cámara del dormitorio de una niña de ocho años y le habló haciéndose pasar por Santa Claus. El fallo era técnico, parcialmente: Ring no activó la verificación en dos pasos por defecto hasta que la presión pública se volvió insostenible.
Pero el problema de Ring va más allá de las contraseñas débiles. En 2023, la Comisión Federal de Comercio de Estados Unidos (FTC) multó a Amazon con 5,8 millones de dólares después de confirmar que empleados de Ring habían accedido sin autorización a vídeos privados de clientes, incluyendo grabaciones en habitaciones y baños. No fue un hackeo externo. Fueron personas con acceso interno a los sistemas.
Los altavoces inteligentes tienen su propio historial. Amazon reconoció en 2019 que empleados humanos escuchaban fragmentos de conversaciones captadas por Alexa para mejorar el sistema de reconocimiento de voz. Lo mismo admitieron Apple con Siri y Google con su asistente. En todos los casos, la práctica existía antes de que los usuarios lo supieran, estaba enterrada en los términos y condiciones y tardó en desaparecer después de las denuncias. Que sea una práctica de la industria no la convierte en menos invasiva.
Los televisores inteligentes tampoco se quedan atrás. En 2017, la FTC sancionó a Vizio con 2,2 millones de dólares por recopilar datos de visualización sin consentimiento claro de once millones de televisores. El sistema registraba qué veían los usuarios, segundo a segundo, y vendía esa información a empresas de publicidad. Vizio lo llamaba “Smart Interactivity”. Sus clientes lo llamaban de otra manera cuando se enteraron.
¿Pueden los juguetes conectados espiar a los niños?
Sí, y hay casos concretos que lo demuestran. La muñeca My Friend Cayla, fabricada por Genesis Toys, fue prohibida en Alemania en 2017 por la Agencia Federal de Redes del país. La autoridad alemana la clasificó directamente como un dispositivo de espionaje oculto en forma de juguete. La muñeca grababa las conversaciones de los niños y las enviaba a servidores de una empresa tercera, Nuance Communications, especializada en reconocimiento de voz con contratos militares y de inteligencia. No era una hipótesis: la conexión Bluetooth de la muñeca era abierta, sin cifrado, y cualquiera en un radio de diez metros podía conectarse a ella.
CloudPets, otra marca de juguetes conectados, sufrió en 2017 una filtración que expuso más de 800.000 cuentas de usuarios y dos millones de mensajes de voz grabados, muchos de ellos de niños pequeños. Los datos estaban en una base de datos sin contraseña, accesible desde internet. Investigadores de seguridad avisaron a la empresa durante semanas antes de que alguien respondiera. Mientras tanto, los archivos ya habían sido indexados y descargados por terceros.
Este tipo de fallos no son casualidades aisladas. Son el resultado de fabricantes que priorizan la velocidad de lanzamiento sobre la seguridad, y de un mercado que durante años careció de cualquier regulación específica para dispositivos conectados dirigidos a menores. Algo que, por cierto, sigue siendo uno de los grandes mitos de la ciberseguridad: que los fabricantes responsables se autorregulan.
¿Hasta dónde llega la recogida de datos en los dispositivos del hogar?
Los termostatos inteligentes saben a qué hora te levantas, cuándo sales de casa y cuándo vuelves. Las bombillas conectadas registran tus rutinas de sueño. Las aspiradoras robot con cámara cartografían el interior de tu vivienda. iRobot, fabricante de Roomba, confirmó en 2022 que había compartido imágenes capturadas por sus robots aspiradores, incluyendo algunas de personas en situaciones íntimas, con empresas externas para entrenar algoritmos de inteligencia artificial. Las imágenes llegaron a filtrarse en redes sociales.
Los coches conectados son otro capítulo aparte. En 2023, la organización Mozilla Foundation publicó un informe sobre privacidad en vehículos que calificó a la mayoría de fabricantes, entre ellos Tesla, Volkswagen, BMW y Nissan, como los peores en protección de datos de todos los productos analizados en sus años de investigación. Los coches modernos registran ubicación continua, hábitos de conducción, conversaciones dentro del vehículo y, en algunos casos, datos de salud inferidos a partir del comportamiento del conductor. Nissan, según el informe, se reservaba el derecho a compartir información sobre “vida sexual” de los conductores con terceros, algo que la propia empresa no supo explicar cuando se lo preguntaron.
Las pulseras de actividad y los relojes inteligentes llevan años recogiendo datos de frecuencia cardíaca, sueño y localización. Fitbit, adquirida por Google en 2021, trasladó los datos de salud de sus usuarios a los servidores de Google. La transacción fue revisada por reguladores europeos, que aprobaron la compra con condiciones, aunque las organizaciones de derechos digitales consideraron que las garantías eran insuficientes. Cuando una empresa cambia de dueño, tus datos cambian de manos con ella, algo que ya vimos con detalle al analizar qué ocurre con tus datos cuando la empresa desaparece.
¿Es ilegal que un dispositivo te espíe o está en la letra pequeña?
La respuesta incómoda es que muchas prácticas son técnicamente legales porque están en los términos y condiciones que nadie lee. La FTC y las autoridades europeas de protección de datos han actuado en los casos más flagrantes, pero la regulación específica para el IoT llegó tarde y de forma desigual. El Reino Unido aprobó en 2022 la Product Security and Telecommunications Infrastructure Act, que prohíbe contraseñas por defecto genéricas y obliga a los fabricantes a publicar cuánto tiempo darán soporte de seguridad a sus dispositivos. La Unión Europea trabaja en requisitos similares dentro del Cyber Resilience Act, aprobado en 2024.
En Estados Unidos, la situación es más fragmentada. Hay leyes estatales (California tiene las más estrictas), algunas directrices federales y multas de la FTC que, en proporción a los beneficios de empresas como Amazon o Google, resultan anecdóticas. Una multa de 5,8 millones de dólares a Amazon es ruido de fondo para una compañía que ingresa más de 500.000 millones al año.
El mercado de datos de salud que generan estos dispositivos tiene su propia economía paralela. Lo que saben tus dispositivos sobre tu cuerpo tiene compradores dispuestos a pagar, desde aseguradoras hasta empresas farmacéuticas. No siempre de forma directa ni transparente.
Los métodos para obtener esa información también se sofistican. El fraude de voz ya imita a personas reales con una precisión que asusta, y los dispositivos conectados son una superficie de ataque que facilita ese tipo de engaños cuando están mal protegidos.
La realidad es que los marcos legales se escribieron pensando en ordenadores y teléfonos. El IoT multiplica los vectores de exposición de una forma que las leyes existentes no anticiparon. Y mientras los reguladores actualizan las normas, los fabricantes siguen lanzando dispositivos que recogen datos porque ese es, en muchos casos, su verdadero modelo de negocio. El precio de venta del altavoz inteligente subvencionado no te lo están regalando: lo pagas con los datos que genera.
Hay casos que demuestran que los fallos de seguridad en el IoT no son solo domésticos. En 2016, la botnet Mirai infectó cientos de miles de cámaras IP y routers domésticos mal protegidos para lanzar uno de los ataques de denegación de servicio más grandes de la historia, dejando sin acceso a servicios como Twitter, Netflix y Spotify durante horas. Los dispositivos de personas anónimas en sus casas se convirtieron en armas sin que sus dueños lo supieran. Los investigadores de seguridad que trabajan para evitar exactamente esto llevan años advirtiendo que el problema no ha hecho más que crecer.
Conectarse a redes públicas con dispositivos que ya recogen datos propios añade otra capa de riesgo. Los datos que cedes al conectarte a una red wifi abierta pueden combinarse con los que ya recopila el dispositivo, construyendo un perfil más detallado del que cualquiera esperaría.
Algunos de estos casos de vigilancia corporativa a través de productos de consumo podrían parecer conspiraciones de ciencia ficción, pero tienen fechas, expedientes y multas. La diferencia entre una conspiración y un hecho documentado es exactamente esa: la evidencia. Y en el mundo del IoT, la evidencia se acumula a un ritmo que debería incomodar a cualquiera que tenga un altavoz inteligente en el salón.
¿Llegará un momento en que sea imposible saber qué está escuchando tu casa?
La pregunta no es retórica. El número de dispositivos conectados en el mundo superó los 15.000 millones en 2023 y se espera que alcance los 30.000 millones antes de 2030, según previsiones de IoT Analytics. Cada uno de esos dispositivos es un punto de recogida de datos. Algunos están bien protegidos y cumplen lo que prometen. Otros tienen vulnerabilidades conocidas que sus fabricantes no parchearán porque el dispositivo ya no genera ingresos directos.
La asimetría de información entre el usuario y el fabricante es total. Tú no sabes qué envía tu termostato a las tres de la madrugada. No tienes forma de auditarlo sin conocimientos técnicos avanzados. Y aunque los tuvieras, los términos del servicio suelen prohibir la ingeniería inversa. El hogar conectado convierte la privacidad en un privilegio técnico, accesible solo para quienes saben cómo monitorizar su propia red.
La regulación avanza, pero más despacio que la tecnología. El Cyber Resilience Act europeo es un paso adelante, igual que las leyes de etiquetado de ciberseguridad que varios países están adoptando. Sin embargo, la cadena de suministro global del IoT incluye fabricantes en países donde esas normas no aplican, componentes con firmware cerrado y actualizaciones que dependen de que la empresa siga existiendo dentro de cinco años. Algunas sospechas sobre vigilancia que parecían exageradas resultaron ser exactas, lo que complica saber dónde trazar la línea entre precaución razonable y paranoia.
La pregunta que queda en el aire es si el modelo actual tiene arreglo o si la recogida masiva de datos es estructural al negocio del IoT. Porque si los datos son el producto, no está claro que ninguna multa cambie el incentivo de fondo.
Preguntas frecuentes
¿Cómo puedo saber si mi dispositivo conectado está enviando datos sin mi permiso?
No existe una forma sencilla para usuarios sin conocimientos técnicos. La opción más accesible es revisar la actividad de red desde el router, usando apps como Fing, que listan los dispositivos conectados y el tráfico que generan. También conviene revisar los permisos de las apps asociadas y buscar el nombre del dispositivo en bases de datos de vulnerabilidades conocidas como CVE Details.
¿Es seguro tener un altavoz inteligente en casa?
Depende de tu tolerancia al riesgo y de cómo configures el dispositivo. Los altavoces de Amazon, Google y Apple graban fragmentos de audio cuando detectan la palabra de activación, y en algunos casos han grabado conversaciones por error. Puedes reducir la exposición desactivando el historial de voz, revisando y eliminando las grabaciones almacenadas y apagando el micrófono físicamente cuando no lo uses.
¿Los fabricantes de IoT pueden vender mis datos a terceros?
En muchos casos sí, si está contemplado en sus términos y condiciones. Empresas como Vizio fueron sancionadas precisamente por hacerlo sin un consentimiento suficientemente claro. En Europa, el RGPD limita estas prácticas y exige consentimiento explícito para ceder datos a terceros. En Estados Unidos la protección varía según el estado, y California tiene las normas más restrictivas con la CCPA.
¿Qué pasó exactamente con la muñeca Cayla?
My Friend Cayla era una muñeca con conexión Bluetooth y reconocimiento de voz que enviaba las conversaciones de los niños a servidores de Nuance Communications. La Agencia Federal de Redes de Alemania la prohibió en 2017 y ordenó a los padres que la destruyeran o la inutilizaran. La prohibición se basó en que el dispositivo constituía un aparato de escucha ilegal según la legislación alemana.
¿El Cyber Resilience Act europeo me protege como usuario?
El Cyber Resilience Act, aprobado en 2024, obliga a los fabricantes que vendan en la UE a cumplir requisitos mínimos de ciberseguridad, publicar cuánto tiempo recibirán actualizaciones sus dispositivos y gestionar las vulnerabilidades de forma activa. No es una garantía absoluta, pero eleva el listón de forma significativa respecto a la situación anterior, en la que prácticamente cualquier dispositivo podía venderse sin requisitos de seguridad verificables.
¿Es cierto que los coches modernos recopilan datos sobre mi vida privada?
Sí, y está documentado. El informe de Mozilla Foundation de 2023 analizó 25 marcas de automóviles y concluyó que todas recopilaban más datos de los necesarios. Algunos fabricantes, como Nissan, se reservaban en sus políticas de privacidad el derecho a recoger y compartir información de categorías sensibles. Los coches conectados registran ubicación, estilo de conducción y, en algunos modelos, audio dentro del habitáculo.
