Los rastreadores, localizadores o etiquetas, son pequeños dispositivos que sirven para tener localizados objetos y aparatos. Por ejemplo, puedes usarlos para ubicar una maleta, las llaves, una mascota, etc. Suelen funcionar por Bluetooth y, mediante una aplicación, ver dónde está o cuál fue la última ubicación conocida. Una de las marcas más populares es Tile. Sin embargo, en este artículo nos hacemos eco de una grave vulnerabilidad.
Se trata de un informe que han realizado desde el Instituto Tecnológico de Georgia, una institución de referencia en ciberseguridad, y del que se han hecho eco en Wired, en una publicación con fecha de 29 de septiembre. Concretamente, en este trabajo han participado Akshaya Kumar, Anna Raymaker y Michael Specter. Han descubierto que los dispositivos Tile tienen graves fallos de seguridad y privacidad.
Fallos en dispositivos Tile
Estos investigadores han descubierto que cada dispositivo Tile emite una dirección MAC estática no cifrada junto con un ID único. Un hipotético atacante que tuviera equipos básicos de radiofrecuencia, podría llegar a interceptar la señal y rastrear los movimientos de ese dispositivo. De forma indirecta, podría estar espiando a una persona, que sería el propietario de ese dispositivo.
Hay que tener en cuenta que la dirección MAC es permanente, no cambia, aunque sí es variable el ID único. No obstante, con la combinación de ambos, un atacante podría tener lo necesario para identificar el dispositivo y empezar a rastrearlo, lo que compromete la privacidad y seguridad.
Pero este informe no ha detectado únicamente la posibilidad de rastrear a nivel local, sino que detectaron que, cuando la red de teléfonos detecta la ubicación de un dispositivo Tile, esos datos se envían sin cifrar a los servidores de la marca. Esto incluye información de la ubicación, la dirección MAC y el ID único.
Aunque no lo confirman, en el informe del Instituto Tecnológico de Gergia, del que se han hecho eco en Wired, indican que es probable que esa información se almacena sin cifrar, lo que permite a Tile realizar una vigilancia masiva.
Además, otro fallo importante, según este informe, está relacionado con el sistema «Buscar y proteger» de Tile, diseñado para detectar dispositivos desconocidos cerca del usuario. Indican que tiene graves deficiencias. En comparación con otros dispositivos similares, como el de Apple o Samsung, que realizan análisis automáticos en segundo plano, Tile requiere que el usuario inicie manualmente un análisis de 10 minutos mientras se mueve. Esto hace que la detección sea esporádica y dependa de la atención del usuario.
Contactos con Life360
Otro punto a tener en cuenta, como reflejan en el informe, es que esta protección, que consideran débil, puede desactivarse por completo mediante el «Modo antirrobo» de Tile. Si el dueño de un dispositivo activa este modo, ese dispositivo se vuelve invisible para la función «Buscar y proteger». Sin embargo, un intruso podría activarla fácilmente en un equipo de rastreo oculto, sin que la víctima se diera cuenta de ello.
Para los investigadores, esta debilidad es algo que han solucionado otros fabricantes, pero no en el caso de Tile. Algunos consejo que puedes tener en cuenta son los siguientes:
- Revisar la configuración de la app: Desactivar temporalmente funciones no esenciales y revisar los permisos concedidos a la aplicación Tile en el móvil.
- Limitar su uso para objetos críticos: Evitar usar Tile para localizar objetos cuya ubicación pueda revelar información sensible (por ejemplo, llaves de casa o del coche).
- Considerar alternativas con cifrado robusto: Valorar el uso de localizadores como los AirTag de Apple o SmartTag de Samsung, que implementan cifrado de extremo a extremo y redes de búsqueda anónimas.
| Vulnerabilidad | Riesgo Técnico | Impacto para el Usuario |
|---|---|---|
| MAC estática y ID sin cifrar | Emisión de identificadores únicos y permanentes vía Bluetooth. | Permite a un atacante con equipo básico rastrear los movimientos del dispositivo (y su dueño) a nivel local. |
| Datos de ubicación sin cifrar | Envío de la ubicación, MAC e ID a los servidores de Tile en texto plano. | Posibilita la vigilancia masiva por parte de Tile o de quien intercepte esa comunicación. |
| Sistema 'Buscar y proteger' deficiente | Requiere un escaneo manual y activo de 10 minutos por parte del usuario. | Detección de 'stalkerware' (rastreadores ajenos) muy poco fiable e ineficaz en comparación con la competencia. |
| 'Modo antirrobo' explotable | Un atacante puede activar este modo en un Tile oculto para hacerlo invisible a la función 'Buscar y proteger'. | Anula por completo la ya débil protección contra el rastreo malicioso. |
Este descubrimiento viene de muy atrás. Concretamente, el equipo del Instituto Tecnológico de Georgia informó a Life360 en noviembre de 2024, hace casi un año. Estuvieron en contacto varios meses, pero a partir de febrero dejaron de recibir respuesta. Los investigadores indican que desconocen si realmente ha habido algún cambio y, tras hacer pública esta información, recomiendan que, por el momento, los usuarios descarten el uso de dispositivos Tile si quieren mantener la privacidad a salvo.
Ten en cuenta que este tipo de dispositivos se ha popularizado mucho en los últimos años. Son pequeños aparatos que, aunque no permiten saber en todo momento dónde se encuentra algún objeto, sirven para encontrar, dentro de un rango de alcance, dónde se encuentra una maleta, las llaves, etc. Hay modelos más avanzados que sí que cuentan con GPS y funcionan a través de una tarjeta SIM, pero son más costosos.
En definitiva, los dispositivos Tile han vuelto a estar presentes por un desafortunado hecho. En este caso, se trata de fallos que pueden comprometer la seguridad y privacidad. Han sido calificados como graves. Es importante siempre que revises muy bien la configuración en la aplicación y limites su uso a dispositivos u objetos que puedan ser sensibles.