Durante meses, Meta implementó un sistema de rastreo oculto en dispositivos Android que permitía monitorizar la actividad de los usuarios en navegadores móviles, incluso en modo incógnito o al borrar cookies. La técnica, bautizada como Local Mess, fue descubierta por investigadores de IMDEA Networks y la Radboud Universiteit de Países Bajos, liderados por los profesores Gunes Acar y Narseo Vallina-Rodríguez.
El método aprovechaba aplicaciones como Facebook e Instagram para interceptar datos de navegación mediante puertos locales, accediendo a metadatos, cookies y comandos ejecutados en el navegador. Un script de JavaScript, Meta Pixel, se cargaba silenciosamente, vinculando la actividad web con perfiles reales mediante el Android Advertising ID (AAID). Esto eliminaba cualquier anonimato, independientemente de las configuraciones de privacidad.
La vulnerabilidad afectaba a millones de sitios web que integraban Meta Pixel, presente en más de 5,8 millones de plataformas, según BuiltWith. Aunque los investigadores solo confirmaron su impacto en Android, señalaron que técnicamente podría replicarse en iOS.
Tras el hallazgo, Meta desactivó el sistema sin explicaciones, mientras navegadores como Chrome, Firefox y DuckDuckGo ya trabajan en parches. Brave, al requerir permiso explícito para conexiones locales, no resultó afectado.
Meta justificó la medida como una solución temporal a un «error de comunicación» con Google, aunque expertos sugieren que podría ser una respuesta al plan de Google de eliminar cookies de terceros en Chrome.
Por su parte, Yandex, que usaba una técnica similar desde 2017, aseguró que no recopilaba datos sensibles y desactivó la función tras ser alertada.
Este caso reaviva el debate sobre la privacidad en la era digital y la necesidad de regulaciones más estrictas frente a prácticas opacas de recolección de datos.
