La tecnología de vigilancia que el gobierno usa para rastrearlo sin orden judicial no proviene de una aplicación secreta de espionaje. Está incrustada en el código de las aplicaciones banales que ya ha instalado en su teléfono — la app del clima, el juego casual que pasó horas jugando, incluso la aplicación de oraciones diarias. Estas aplicaciones solicitan acceso a la ubicación para funcionalidades básicas, pero más allá de eso, un ecosistema invisible de rastreo recopila, almacena y vende los datos de ubicación de estos dispositivos, convirtiendo los teléfonos inteligentes comunes en rastreadores constantes.
La empresa en el centro de este ecosistema es Penlink, una firma de inteligencia digital con sede en Estados Unidos que opera un sistema llamado Webloc. Lo que hace, en la práctica, es rastrear cientos de millones de dispositivos móviles en tiempo real, combinando datos de ubicación recopilados a través de SDKs de publicidad incrustados en aplicaciones cotidianas, y vendiendo el acceso a agencias policiales alrededor del mundo.
Una adquisición de 200 millones de dólares
Penlink fue fundada en 1986 en Lincoln, Nebraska, y durante décadas proporcionó tecnología de vigilancia tradicional al gobierno de EE.UU.: interceptación de llamadas, análisis de datos de internet capturados durante investigaciones. Sus clientes incluyeron al FBI, DEA, Servicio Secreto, Marshals y numerosos departamentos policiales estatales y municipales.
En 2022, la firma de private equity de Nueva York Spire Capital adquirió Penlink, y al año siguiente cerró un acuerdo por aproximadamente 200 millones de dólares por Cobwebs, una startup israelí que había desarrollado la tecnología Webloc para trabajo antiterrorista. La fusión de ambas empresas cambió el perfil de Penlink: de proveedor tradicional de vigilancia a operadora de un sistema global de rastreo basado en publicidad digital.
Según documentos de contrataciones gubernamentales de EE.UU., ICE (Oficina de Inmigración y Control de Aduanas) gastó alrededor de 9 millones de dólares entre 2022 y 2026 en cuatro contratos con Cobwebs y Penlink para licenciar Webloc. El ATF (Bureau of Alcohol, Tobacco, Firearms and Explosives) también pilotó el sistema antes de cancelar el contrato tras presión de legisladores — el ATF había comprado datos que, según el senador Ron Wyden, fueron obtenidos por "medios legalmente dudosos e ilegales".
Cómo funciona el rastreo invisible
Webloc funciona de forma simple pero poderosa. Cuando instala una aplicación gratuita en su teléfono, es probable que solicite acceso a su ubicación. La app podría necesitar esto para decirle si va a llover mañana o encontrar la iglesia más cercana. Pero lo que sucede después no tiene nada que ver con el propósito original de la aplicación.
Los desarrolladores incrustan SDKs — kits de desarrollo de software — de empresas de publicidad dentro de sus aplicaciones. Estos SDKs recopilan información sobre dónde está su dispositivo en cualquier momento, y luego transmiten esos datos a un ecosistema más amplio de subastas en tiempo real (real-time bidding) que alimenta a brokers de datos de ubicación.
Penlink accede a estos brokers y construye un perfil continuo de ubicación de cada dispositivo, identificado por un MAID (Mobile Advertising Identifier), el número único que el sistema operativo asigna a su dispositivo con fines publicitarios. En los últimos 12 meses, el sistema puede reconstruir dónde ha estado: casa, trabajo, reuniones, templos, protestas. En demostraciones, Penlink rastreó personas caminando por Fifth Avenue en Nueva York, acercándose al Banco Central Europeo en Frankfurt y al Parlamento Británico en Londres.
Los datos son masivos. Según documentos revisados por Bloomberg News, Webloc ofrece acceso a un flujo constantemente actualizado de registros de geolocalización de 500 millones de teléfonos y otros dispositivos móviles en todo el mundo.
La zona gris legal
La controversia central es jurídica. En 2018, la Corte Suprema de EE.UU. falló en el caso Carpenter vs. United States de que la policía necesita una orden judicial para acceder a registros históricos de ubicación de teléfonos celulares obtenidos directamente de operadoras telefónicas. Pero los tribunales federales han argumentado consistentemente que este principio no se aplica a datos de ubicación que las agencias compran de fuentes comerciales como Penlink.
Esto significa que la policía puede comprar datos de ubicación sin orden judicial, sin pasar por el proceso judicial que sería requerido si quisiera los mismos datos directamente de una operadora. Como describió Bennett Cyphers, asesor especial de la EFF, es "un programa de vigilancia masiva por un precio de bajo costo".
Los precios del Webloc comienzan en alrededor de 100 mil dólares por año, con costos que aumentan dependiendo del número de usuarios y la cantidad de datos solicitados. Pero el sistema también se ha expandido a agencias más pequeñas: Citizen Lab, una unidad de investigación de la Universidad de Toronto, identificó compradores estatales y municipales en un informe publicado en abril de 2026.
La escala global
Penlink opera no solo en EE.UU. Según registros de ventas y personas familiarizadas con el negocio, la tecnología ha sido vendida al Reino Unido, Arabia Saudita, Emiratos Árabes, Singapur y otros países. Cada cliente que licencia la suite principal de análisis de Penlink, Tangles, también puede adquirir Webloc como complemento.
La defensa de la empresa es fuerte. Sean White, socio de Spire Capital, afirma que Webloc fue "materialmente alterado" tras la adquisición de Cobwebs. Un portavoz de Penlink dijo a Bloomberg Law que la empresa "tiene orgullo del largo vínculo" con el ATF y que el contrato fue cancelado porque el sistema "no cumple nuestras necesidades".
Pero la crítica es que el propio modelo de negocio — extraer datos de ubicación de la publicidad digital para venderlos a fuerzas de aplicación de la ley — existe desde hace años y ha sido ampliamente documentado por organizaciones de derechos digitales. En un informe de marzo de 2026, la EFF identificó que SDKs de empresas como InMobi, BidMachine, Verve y Petal Ads de Huawei recopilan y comparten la ubicación del usuario por defecto, sin el conocimiento del desarrollador de la app ni el consentimiento significativo del usuario.
Qué significa esto para usted
La implicación es directa: si tiene un teléfono inteligente, su teléfono probablemente ya ha enviado datos de ubicación a un sistema que podría ser comprado por una agencia policial — y posiblemente por gobiernos extranjeros. La tecnología no discrimina entre un sospechoso criminal y un periodista, un activista o un ciudadano común que va al trabajo.
Apple misma intentó frenar este ecosistema en 2021, obligando a las aplicaciones a solicitar acceso al MAID de los usuarios. El resultado? 96% de los usuarios de EE.UU. optaron por negarse, lo que efectivamente deshabilitó los identificadores publicitarios en la mayoría de los dispositivos iOS. Pero eso no ocurre en Android, donde el rastreo por MAID permanece casi ininterrumpido, y muchas de las SDKs de publicidad listadas por la EFF operan independientemente del consentimiento del usuario.
La pregunta que queda es si la Convención Americana de Derechos Humanos y la constitución de cada país protegen adecuadamente la libertad de reunión y movilidad contra un sistema que mapea estos movimientos sin orden judicial. Si la tecnología de rastreo por publicidad digital es tan ubicua como la publicidad misma, y la legislación de protección de datos aún no la ha alcanzado de forma consistente, el futuro cercano puede reservar sorpresas mucho mayores que medio millón de teléfonos mapeando nuestros pasos para vender anuncios que nadie pidió recibir.
Fuentes: Bloomberg, Electronic Frontier Foundation, LavX News
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
