BrowserGate en LinkedIn: la huella de tu navegador podría revelar tu identidad profesional

En los últimos días ha vuelto a saltar la alarma sobre técnicas de rastreo que, hasta ahora, asociábamos más con empresas de publicidad o entidades maliciosas que con redes profesionales: un informe conocido como “BrowserGate”, elaborado por Fairlinked e.V., asegura que LinkedIn incorpora en su plataforma fragmentos de JavaScript capaces de inspeccionar el navegador de cada visitante para comprobar qué extensiones están instaladas y recopilar numerosos datos del dispositivo.

El punto que más preocupa a quienes han leído el informe es que los resultados de esa comprobación, según los autores, no quedan anónimos: estarían vinculados a cuentas reales de LinkedIn, lo que permitiría asociar una lista de extensiones instaladas con nombres, empresas y puestos de trabajo concretos. Si eso fuera así, la información podría revelar herramientas comerciales utilizadas por empleados de una compañía y, en última instancia, mapear qué empresas usan ciertos productos de la competencia, una acusación que el informe ejemplifica citando nombres conocidos del sector de ventas y prospección.

Parte de estas afirmaciones ha recibido verificación independiente. Medios técnicos como BleepingComputer han reproducido comprobaciones y han observado en el sitio de LinkedIn la carga de un script con nombre aleatorio que realiza pruebas sobre la presencia de miles de extensiones en navegadores Chromium. La técnica es conocida: el script intenta cargar recursos (por ejemplo imágenes o ficheros) asociados a identificadores de extensiones concretas; si el recurso existe, es una indicación de que la extensión está presente. Un ejemplo de este método puede consultarse en BrowserLeaks, que documenta cómo ciertas características y rutas pueden delatar extensiones instaladas.

Los datos técnicos que se han ido encontrando muestran una progresión inquietante: el mismo tipo de script fue detectado previamente con una cobertura de alrededor de 2.000 extensiones, luego un repositorio público en GitHub mostró unas 3.000 y las comprobaciones más recientes indican que la detección podría superar las 6.000 extensiones. Además de las extensiones, el mismo script recaba información sobre el equipo y el navegador: número de núcleos de CPU, memoria disponible, resolución de pantalla, zona horaria, idioma, estado de batería y otros parámetros que, en conjunto, ayudan a construir una huella única del dispositivo.

¿Por qué debería importarnos esto aunque no seamos usuarios de herramientas comerciales? Porque la combinación de identificadores de extensiones con una cuenta real en una red profesional cambia la ecuación. Una huella de navegador aislada es ya una amenaza para la privacidad, pero cuando se asocia a una identidad profesional concreta se abre la puerta a usos que van más allá de la mera telemetría: desde la identificación de clientes potenciales de una herramienta hasta la posibilidad de tomar decisiones comerciales o técnicas sobre usuarios concretos.

LinkedIn, por su parte, no niega la detección de extensiones. La compañía ha explicado que rastrea la presencia de determinadas extensiones para proteger la plataforma, prevenir scraping y detectar comportamientos automatizados que puedan afectar a la estabilidad o la privacidad de los miembros. Según la versión que ha trascendido, LinkedIn utiliza la existencia de recursos estáticos vinculados a algunas extensiones para identificar aquellas que inyectan código o imágenes en sus páginas, y defiende que este proceso se realiza con fines de seguridad y cumplimiento de sus términos de uso. También ha señalado que parte del debate proviene de un conflicto legal con el desarrollador de una extensión concreta, y que un tribunal alemán rechazó medidas cautelares solicitadas por ese desarrollador.

Queda, sin embargo, un espacio gris: ni el informe de Fairlinked ni las verificaciones periodísticas han podido probar de forma pública y concluyente cómo se utilizan esos datos a gran escala o si se comparten con terceros. La historia del tracking nos muestra que técnicas inicialmente justificadas por motivos de seguridad pueden evolucionar hacia usos comerciales más amplios; por ello es razonable pedir transparencia y límites claros sobre recopilación, retención y finalidad de los datos.

La técnica en sí no es nueva; la comunidad de seguridad y privacidad lleva años advirtiendo sobre la construcción de huellas digitales a partir de parámetros del navegador y del sistema. Organizaciones como la Electronic Frontier Foundation ya explicaron hace tiempo por qué la combinación de muchos pequeños rasgos de un navegador puede convertirlo en un identificador persistente (Panopticlick / EFF). La novedad en este caso es la escala y el contexto: una red profesional donde los perfiles están atados a identidades reales.

Si eres usuario habitual de LinkedIn y te preocupa tu privacidad, hay medidas prácticas que conviene conocer. No se trata de alarmarse, sino de entender el ecosistema: revisar las extensiones instaladas, minimizar las que tienen permisos amplios, usar navegadores con protecciones anti-fingerprinting y mantener separados los perfiles y sesiones cuando trabajas con cuentas profesionales sensibles son acciones que reducen la superficie de exposición. Navegadores orientados a privacidad como Tor Browser o Brave ofrecen mayores defensas frente a esta clase de técnicas, aunque con sus propias limitaciones para el uso cotidiano.

La historia de “BrowserGate” pone sobre la mesa preguntas que van más allá de LinkedIn: ¿qué límites deben existir para la recolección de señales del navegador en sitios que exigen identidades reales? ¿Hasta qué punto la seguridad puede justificar inspecciones tan intrusivas? Y, quizás lo más importante, ¿cómo se verifica por parte de la comunidad y de los reguladores que esos datos no acaban alimentando actividades comerciales que perjudiquen la competencia o la privacidad de las personas?

Mientras las partes enfrentadas presentan sus argumentos, conviene que reguladores, auditores independientes y la prensa técnica sigan pidiendo acceso a pruebas y controles. La confianza en plataformas que mezclan identidad profesional y datos técnicos depende tanto de medidas de seguridad legítimas como de transparencia y límites claros sobre el uso de la información recopilada. Para profundizar en las piezas técnicas y en la documentación disponible puedes consultar el informe original en BrowserGate, las verificaciones periodísticas en BleepingComputer, y ejemplos de cómo se detectan extensiones en BrowserLeaks y en repositorios públicos como el repositorio citado en GitHub.

En resumen: existe evidencia técnica de que LinkedIn ejecuta un script capaz de identificar miles de extensiones y recopilar parámetros de dispositivo; la compañía insiste en que lo hace para proteger la plataforma; y el debate actual se centra en la transparencia sobre el uso de esos datos y en las implicaciones de privacidad y competencia que pueden derivarse de vincular huellas técnicas con identidades reales.