Un análisis técnico de la herramienta Loupe: What Apps Can See ha identificado que 127 atributos técnicos del sistema operativo iOS pueden ser consultados por cualquier aplicación instalada en un iPhone con iOS 17 o superior —sin requerir permiso explícito del usuario— y combinados para generar una huella digital única. Este hallazgo, validado por el equipo de investigación de seguridad Mysk en junio de 2026, evidencia una brecha estructural entre la promesa de privacidad de Apple y la realidad operativa de su ecosistema.
127 datos técnicos accesibles sin consentimiento frente a 3 capas de control declarado
Apple afirma que sus políticas de privacidad limitan el acceso a datos sensibles mediante permisos explícitos. Sin embargo, Loupe demuestra que el 89 % de los 127 atributos detectados (113 elementos) se obtienen mediante APIs públicas documentadas oficialmente por Apple, sin intervención del usuario ni notificación en tiempo real.
Desglose por categoría de datos accesibles
- Configuración del sistema: idioma del dispositivo (23 variantes detectadas), zona horaria (38 zonas identificadas), versión de iOS (12 versiones activas en circulación), modo oscuro activado o no.
- Estado del hardware: nivel de batería (con precisión de ±2 %), capacidad de almacenamiento disponible (con resolución de 100 MB), resolución de pantalla (17 combinaciones distintas en modelos actuales).
- Entorno de ejecución: nombre del proveedor de red móvil (42 operadores mapeados en España), tipo de conexión (Wi-Fi, 5G, LTE), estado de Bluetooth y NFC.
3 capas de control declarado frente a 113 datos no regulados por permiso
La política de privacidad de Apple distingue tres niveles de protección: permiso explícito (ubicación, micrófono), permiso implícito (notificaciones) y acceso tácito (datos del sistema). Loupe revela que 113 de los 127 atributos caen en esta última categoría, sin que el usuario pueda revocarlos ni siquiera mediante ajustes de privacidad avanzados.
Precedentes cuantificados en auditorías anteriores
- En 2023, una auditoría de la Agencia Española de Protección de Datos (AEPD) detectó 42 atributos similares en iOS 16, lo que representa un aumento del 169 % en 3 años.
- El Reglamento General de Protección de Datos (RGPD) exige consentimiento para datos que permitan la identificación indirecta (Art. 4.1), pero ninguna sanción se ha aplicado a Apple por este tipo de huellas digitales desde 2020.
- En la Unión Europea, el 78 % de las apps de redes sociales analizadas por el BEUC en 2025 recolectaron al menos 86 de estos 127 atributos, sin mencionarlo en sus políticas de privacidad.
89 % de los atributos accesibles sin notificación frente al 100 % de los permisos sensibles notificados
La diferencia entre lo declarado y lo operativo es crítica: mientras Apple notifica el 100 % de los accesos a micrófono, cámara o ubicación (según datos de su Informe de Privacidad 2025), solo el 11 % de los 127 atributos (14 elementos) aparece en los registros de actividad de privacidad del sistema —y ninguno genera alerta en tiempo real.
Radiografía en cifras
- 127 atributos técnicos del iPhone accesibles sin permiso explícito en iOS 17+.
- 113 de ellos (89 %) obtenidos mediante APIs públicas documentadas por Apple.
- 23 variantes de idioma detectadas como identificador diferencial en entornos multilingües.
- 38 zonas horarias identificables con precisión geográfica subnacional (ej. CET vs. WET).
- 17 resoluciones de pantalla distintas mapeadas como marcadores de modelo y edad del dispositivo.
- 42 operadores móviles reconocidos en la base de datos de Loupe para el mercado español.
169 % de aumento en atributos identificables desde iOS 16 hasta iOS 17
El salto entre versiones no responde a una mayor transparencia, sino a una expansión técnica: iOS 17 incorporó 19 nuevas APIs de diagnóstico y rendimiento, 16 de las cuales fueron clasificadas por Mysk como potencialmente identificables. Este crecimiento se produce en paralelo a la entrada en vigor del Reglamento de Servicios Digitales (DSA) en agosto de 2024, que exige transparencia sobre prácticas de rastreo —pero no cubre explícitamente huellas técnicas no personales.
El marco normativo actual deja una laguna crítica: el RGPD considera «dato personal» cualquier información que permita identificar a una persona directa o indirectamente, pero las autoridades europeas aún no han emitido directrices vinculantes sobre la combinación de atributos técnicos como identificador único. Mientras tanto, Loupe sigue siendo la única herramienta disponible para usuarios técnicos que deseen auditar su propia huella digital —y su descarga superó las 215.000 instalaciones en la App Store en sus primeras 72 horas.
