El criminólogo Miguel Ángel Gallardo pide que los ministerios públicos de Iberoamérica actúen coordinadamente ante un sistema de rastreo “silencioso” que afectaría a millones de usuarios
El Dr. Ing. Miguel Ángel Gallardo Ortiz, criminólogo y doctor en Ética, ha presentado en Madrid una denuncia penal por delitos continuados contra la intimidad y la seguridad informática contra tres gigantes tecnológicos: Meta (Facebook, WhatsApp, Instagram), Yandex y Alphabet/Google, por un presunto sistema de espionaje masivo en teléfonos Android que habría permitido vincular, de forma oculta, la navegación web de los usuarios con su identidad real.
La denuncia, ya registrada el 21 de noviembre de 2025 en la Oficina de Registro y Reparto Penal de Madrid, se dirige también contra los administradores, directivos y técnicos que diseñaron o aprobaron los mecanismos de rastreo. El escrito está firmado por Gallardo en representación de APEDANICA (Asociación para la Prevención y Estudio de Delitos, Abusos y Negligencias en Informática y Comunicaciones Avanzadas) y se encuentra disponible de forma íntegra en internet con firma digital.
Además, el denunciante hace un llamamiento directo a las Fiscalías de la Asociación Iberoamericana de Ministerios Públicos (AIAMP) para que compartan la denuncia y coordinen diligencias penales en todos los países donde estas empresas operan y tengan representación legal.
El origen: un estudio académico que destapó el “Localhost tracking”
La base técnica de la denuncia es la investigación internacional liderada por la Universidad de Radboud (Países Bajos) y el instituto español IMDEA Networks, publicada el 3 de junio de 2025. El estudio reveló que aplicaciones nativas de Android como Facebook, Instagram y varias apps de Yandex (Maps, Navi, Browser, Search) “escuchaban silenciosamente” en puertos locales del dispositivo para recibir datos de navegación procedentes de millones de sitios web a través de píxeles de rastreo (Meta Pixel, Yandex Metrica). (ru.nl)
En la práctica, esto habría permitido romper las protecciones de privacidad de Android y de los navegadores, de-anonimizar el historial de navegación (incluso en modo incógnito o usando VPN) y vincularlo con identificadores persistentes como la cuenta de usuario o el Android Advertising ID, sin consentimiento informado del usuario.
Organizaciones como Privacy International y otros expertos describieron el sistema como una técnica similar al comportamiento de malware, al explotar protocolos y el canal “localhost” para sortear el aislamiento entre aplicaciones y el navegador. (privacyinternational.org)
Sánchez anuncia investigación política en España; APEDANICA reclama acción penal
Tras la difusión de estos hallazgos, el presidente del Gobierno de España, Pedro Sánchez, anunció el 19 de noviembre de 2025 que impulsará una investigación contra Meta por la posible violación de la privacidad de millones de usuarios, citando la investigación de Radboud, IMDEA y otros centros europeos. Meta deberá comparecer ante la Comisión de Economía, Comercio y Transformación Digital del Congreso para dar explicaciones. (La Moncloa)
En su intervención en el foro “Metafuturo”, Sánchez subrayó que «en España, la Ley está por encima de cualquier algoritmo o gran plataforma tecnológica» y advirtió que quien vulnere derechos fundamentales “pagará las consecuencias”. (El País)
La denuncia de APEDANICA, sin embargo, va más allá de la esfera política y regulatoria: sostiene que los hechos “no pueden quedar reducidos a una mera infracción administrativa de protección de datos”, sino que encajarían en varios delitos del Código Penal español y, por extensión, en los ordenamientos de otros países iberoamericanos.
Quiénes son los denunciados
El escrito dirigido al Juzgado de Instrucción de Madrid apunta, entre otros, a:
- Meta Platforms, Inc. (Menlo Park, California, EE.UU.)
- Meta Platforms Ireland Limited (Dublín, Irlanda, responsable RGPD en la UE)
- Meta Platforms Spain, S.L. (Madrid)
- Yandex N.V. (Ámsterdam, Países Bajos) y Yandex LLC (Moscú, Rusia)
- Alphabet / Google, como responsable del sistema operativo Android
- Los administradores, directivos, técnicos y responsables legales que concibieron, aprobaron o mantuvieron los módulos de rastreo y el código considerado “maligno”.
Según APEDANICA, Meta Pixel está instalado en más de 5,8 millones de sitios web y Yandex Metrica en más de 3 millones, con miles de webs españolas —medios de comunicación, comercio electrónico, administraciones públicas— que utilizarían estos rastreadores, afectando a millones de usuarios de Android en España y, por extensión, en todo el ámbito iberoamericano. (ru.nl)
Qué denuncia APEDANICA: espionaje “silencioso” y masivo
La denuncia sintetiza así el mecanismo técnico atribuido a Meta:
- El código JavaScript del Meta Pixel envía identificadores y datos de navegación (como el valor
_fbp) mediante WebRTC/HTTP a puertos locales donde las apps de Facebook e Instagram están escuchando. - Las apps capturan esos datos, los vinculan con la cuenta logueada del usuario o con identificadores persistentes, y los reenvían a los servidores de Meta.
En el caso de Yandex, el texto habla de una práctica aún más grave:
- El SDK AppMetrica crearía servidores locales con puertos dinámicos, configurados en tiempo real desde servidores de Yandex.
- Habría un retraso intencional de hasta tres días tras la instalación de la app antes de activar la escucha, y rotación automática de puertos para evitar bloqueos, un patrón que los investigadores comparan con nodos de comando y control de malware. (localmess.github.io)
Según el denunciante, no existe un consentimiento válido ni transparente para este tipo de rastreo, y se induce a error al usuario haciéndole creer que el modo incógnito, el borrado de cookies o el uso de VPN le protegen frente al seguimiento.
Posibles delitos: secretos, intrusión informática y publicidad engañosa
En su calificación jurídica provisional, la denuncia apunta a varios tipos penales del Código Penal español, entre ellos:
- Delito continuado de descubrimiento y revelación de secretos (art. 197.1 y 197.2 CP):
por el apoderamiento masivo del historial de navegación —considerado dato íntimo— y su revelación a terceros sin consentimiento, con ánimo de lucro. - Acceso ilícito a sistemas de información (art. 197 bis CP):
por vulnerar intencionadamente el “sandboxing” de Android y el aislamiento entre apps y navegador, utilizando canales ocultos enlocalhost. - Responsabilidad penal de la persona jurídica (arts. 31 bis y 197 quinquies CP):
porque el modelo de negocio se beneficiaría directamente de estas prácticas, en un contexto de graves deficiencias de cumplimiento normativo (compliance). - Daños informáticos (art. 264 CP) y publicidad engañosa (art. 282 CP):
al ofrecer una imagen de respeto a la privacidad y a los modos “privados” de navegación mientras, en la práctica, se desarrolla un sistema de vigilancia masiva.
El escrito subraya, además, la conexión con el Derecho de la Unión Europea, citando el Reglamento General de Protección de Datos (RGPD), la Directiva ePrivacy, la Ley de Mercados Digitales (DMA) y la Ley de Servicios Digitales (DSA), que refuerzan las obligaciones de transparencia y limitación en el uso de datos de plataformas como Meta y Google.
Qué pide la denuncia: medidas cautelares y cooperación internacional
APEDANICA y su presidente solicitan al Juzgado, entre otras cosas:
- Admisión a trámite e incoación de Diligencias Previas, con práctica de las diligencias propuestas.
- Medida cautelar de inmediato cese de actividad, consistente, al menos, en:
- Ordenar a Meta y Yandex la desactivación total e inmediata de los módulos de escucha en puertos locales (
localhost) en España. - Requerir a Google que garantice que Android no pueda ser utilizado por terceros para espiar a los usuarios a través de estos mecanismos.
- Ordenar a Meta y Yandex la desactivación total e inmediata de los módulos de escucha en puertos locales (
- Requerimientos de documentación técnica a Meta, Yandex y Google (código fuente, logs, documentación interna de Meta Pixel, Yandex Metrica, AppMetrica y componentes de Android implicados).
- Pericial urgente por parte de unidades especializadas de Policía y Guardia Civil (BIT, Delitos Telemáticos) para reproducir el abuso en dispositivos testigo y fijar prueba bajo cadena de custodia.
- Citación como testigos-peritos de los investigadores principales del proyecto “LocalMess” y del estudio de Radboud–IMDEA, así como oficios a la Presidencia del Gobierno, Centro Criptológico Nacional (CCN-CNI), INCIBE, AEPD y el Comité Europeo de Protección de Datos (EDPB) para conocer investigaciones y actuaciones ya iniciadas. (ru.nl)
La denuncia insiste también en la necesidad de cooperación internacional, particularmente con Irlanda (donde tienen sede varias filiales europeas de Meta y Google) y con Países Bajos (Radboud, Yandex N.V.), así como con las Fiscalías de toda Iberoamérica a través de la AIAMP.
Inteligencia artificial como “perito ad hoc”
Un elemento novedoso del expediente es que el denunciante adjunta informes jurídicos de refuerzo elaborados con sistemas de inteligencia artificial (Gemini, DeepSeek, Grok, ChatGPT), utilizados —según se indica— como apoyo técnico-doctrinal para explicar al Juzgado la gravedad de la técnica de “localhost tracking” y justificar la urgencia de las medidas cautelares.
Estos informes no sustituyen la prueba pericial, pero pretenden servir como “mapa de riesgos penales” y propuesta detallada de diligencias tecnológicas, de forma que la instrucción pueda enfrentar en mejores condiciones la enorme asimetría técnica e informativa frente a las grandes plataformas.
Una cuestión que trasciende España
Aunque la denuncia se ha presentado ante un Juzgado de Madrid, su alcance es claramente transnacional. El mismo estudio científico advierte de que la técnica descubierta podría afectar a miles de millones de usuarios de Android en todo el mundo. (localmess.github.io)
Por ello, APEDANICA insta a las Fiscalías y Ministerios Públicos de toda Iberoamérica a:
- Abrir investigaciones de oficio por posibles delitos equivalentes en sus códigos penales.
- Coordinar diligencias para evitar que las pruebas se destruyan o se oculten mediante simples actualizaciones de software.
- Tomar en serio el mensaje de los investigadores y de la propia reacción del Gobierno español: la vigilancia masiva encubierta ya no es solo un riesgo teórico, sino un hecho documentado que requiere respuesta penal y no solo sanciones administrativas.
Mientras tanto, Meta, Yandex y Google se enfrentan a un escenario en el que los tribunales penales pueden empezar a ocupar el espacio que, durante años, ha estado dominado por debates políticos, regulatorios o meramente reputacionales.
