Modelado de Amenazas de Privacidad: Cómo Identificar y Reducir los Riesgos de tus Datos

El modelado de amenazas de privacidad es el proceso de identificar quién quiere tus datos, qué podría hacer con ellos y qué puedes hacer concretamente para reducir ese riesgo. Toma prestado del modelado de amenazas de seguridad, pero se centra en los flujos de datos, los identificadores y la vigilancia, no solo en el compromiso de sistemas. Sin él, el trabajo de privacidad se vuelve reactivo: tapas una fuga mientras ignoras otras tres.

Esta guía recorre la metodología central, ejemplos del mundo real y herramientas prácticas para ayudarte a construir una estrategia de privacidad que realmente se sostenga.

---

¿Qué es un modelo de amenazas de privacidad?

Un modelo de amenazas es una respuesta estructurada a cuatro preguntas:

1. ¿Qué datos quiero proteger?
2. ¿Quiénes son mis adversarios?
3. ¿Cuáles son las consecuencias de una exposición?
4. ¿Cuánta fricción estoy dispuesto a tolerar?

Esa última pregunta importa más de lo que la mayoría de las guías reconocen. Un periodista que cubre gobiernos autoritarios tiene un modelo de amenazas radicalmente distinto al de un desarrollador que simplemente quiere ver menos anuncios dirigidos. Aplicar los controles del periodista a la vida del desarrollador genera complejidad innecesaria. Aplicar los controles del desarrollador a la situación del periodista genera un peligro real.

El modelado de amenazas de privacidad no consiste en lograr el anonimato perfecto. Consiste en tomar decisiones deliberadas y proporcionales.

---

Identificar a tus adversarios

Distintos adversarios tienen distintas capacidades, motivaciones y atribuciones legales. Agruparlos te ayuda a decidir dónde enfocar los esfuerzos.

Brokers de datos y anunciantes pasivos

Estos actores agregan datos de comportamiento a gran escala — historial de navegación, patrones de compra, trazas de ubicación — y los venden o utilizan para segmentación. Raramente van detrás de individuos de forma directa. Su modelo es la recolección masiva.

Las buenas defensas aquí incluyen bloquear rastreadores de terceros, usar DNS sobre HTTPS (DoH) para evitar el registro de DNS a nivel del ISP, y cambiar a un navegador con resistencia al fingerprinting.

Vigilancia de plataformas

Las redes sociales, los motores de búsqueda y las suites de productividad construyen perfiles detallados a partir de datos de primera parte. Tienen acceso legítimo a todo lo que haces dentro de su ecosistema.

La compartimentación ayuda bastante: cuentas o navegadores separados para actividades distintas, mínima introducción de datos personales, y elegir alternativas con políticas de minimización de datos más sólidas cuando sea posible.

ISPs y observadores a nivel de red

Tu proveedor de servicios de internet puede registrar consultas DNS, metadatos de conexión y tráfico sin cifrar. En muchas jurisdicciones puede vender esos datos o está legalmente obligado a retenerlos.

Configurar DNS sobre HTTPS evita que tu ISP lea tus consultas DNS al cifrarlas dentro del tráfico HTTPS. Aquí tienes un ejemplo de configuración para Firefox:

// Entradas en about:config de Firefox para DoH
network.trr.mode = 2          // DoH preferido, con fallback al DNS del sistema
network.trr.uri = "https://dns.cloudflare.com/dns-query"
network.trr.bootstrapAddress = "1.1.1.1"

Establecer network.trr.mode en 3 fuerza DoH exclusivamente sin ningún fallback al DNS del sistema, lo que tiene sentido para escenarios de mayor riesgo.

Adversarios a nivel estatal

Los estados nación y los cuerpos de seguridad del Estado tienen poder de citación judicial, capacidades de inteligencia de señales y, en algunos casos, la posibilidad de obligar a los proveedores a entregar datos. Esta clase de adversario es relevante para activistas, periodistas, abogados y cualquiera que opere en jurisdicciones con un estado de derecho débil.

Las defensas cambian de forma significativa a este nivel: comunicaciones cifradas de extremo a extremo, prácticas sólidas de seguridad operacional (opsec) y minimizar la cantidad de datos que existen en primer lugar.

---

Mapear los flujos de datos

No puedes proteger datos que no sabes que están saliendo de tus sistemas. Mapear los flujos de datos significa rastrear cada punto donde se recopila, transmite, almacena o comparte información personal.

Para un individuo, esto puede significar listar las cuentas que tienen tu nombre real y datos de contacto, los servicios que tienen tu información de pago, las apps con acceso a la ubicación y los dispositivos que se sincronizan con servicios en la nube.

“Privacy is not something that I'm merely entitled to, it's an absolute prerequisite.”

— Marlon Brando

Para una organización, implica documentar todos los puntos de ingesta de datos de clientes, los SDKs de terceros integrados en tus productos y los subencargados que reciben datos bajo un acuerdo de tratamiento de datos.

Aquí hay un ejercicio rápido que vale la pena probar: abre el inspector de red de tu navegador mientras cargas una página de un servicio que uses habitualmente. Cuenta cuántos dominios de terceros reciben peticiones. Cada uno es un receptor potencial de datos que está fuera de tu control directo.

---

Fingerprinting de navegador e identificación pasiva

El fingerprinting de navegador construye un identificador único a partir de atributos del navegador y del dispositivo — resolución de pantalla, fuentes instaladas, renderizado de canvas, salida de WebGL, zona horaria, idioma y docenas de otras señales — sin usar cookies.

Al ser pasivo, bloquear las cookies no lo detiene. Una huella digital de navegador puede mantenerse estable entre sesiones y en modo incógnito. Por eso importa en el modelado de amenazas: tu identidad puede persistir incluso cuando crees que has limpiado el estado de tu sesión.

Comparativa de defensas a nivel de navegador

Distintos navegadores adoptan enfoques diferentes frente a la resistencia al fingerprinting:

El enfoque de Tor Browser es el más completo: en lugar de aleatorizar tu huella, hace que la huella de todos sea idéntica, dándote una multitud entre la que camuflarte. El compromiso es la velocidad y la compatibilidad. La aleatorización de Brave ofrece una protección significativa con menos sacrificios de usabilidad, lo que lo convierte en una opción razonable si el rastreo publicitario es tu principal preocupación.

Para modelos de amenazas de mayor riesgo, usar Tor Browser para la navegación sensible y un Firefox reforzado para el uso general — manteniendo esas actividades compartimentadas — es una estrategia habitual y efectiva.

---

Flujos de trabajo prácticos para el modelado de amenazas

LINDDUN para organizaciones

LINDDUN es un framework estructurado de modelado de amenazas de privacidad que mapea categorías de amenazas sobre diagramas de flujo de datos. El acrónimo corresponde a Linkability (vinculabilidad), Identifiability (identificabilidad), Non-repudiation (no repudio), Detectability (detectabilidad), Disclosure of information (divulgación de información), Unawareness (desconocimiento) y Non-compliance (incumplimiento).

Cada nodo de un diagrama de flujo de datos se evalúa frente a cada categoría de amenaza. El resultado es una lista de riesgos concretos que puedes priorizar por probabilidad e impacto.

Las preguntas de modelado de amenazas de la EFF

La guía Security Self-Defense de la Electronic Frontier Foundation propone cinco preguntas que funcionan muy bien para el modelado de amenazas individual:

1. ¿Qué quiero proteger?
2. ¿De quién quiero protegerlo?
3. ¿Qué probabilidad hay de que necesite protegerlo?
4. ¿Qué tan graves son las consecuencias si fallo?
5. ¿Cuánto esfuerzo estoy dispuesto a invertir?

Estas preguntas se corresponden directamente con el lenguaje de evaluación de riesgos de los frameworks formales, pero son lo bastante accesibles para usuarios no técnicos.

Una plantilla mínima de modelo de amenazas personal

# Modelo de amenazas de privacidad personal

## Activos
- [ ] Identidad real vinculada a cuentas online
- [ ] Historial de ubicación
- [ ] Contenido de comunicaciones
- [ ] Datos financieros
- [ ] Comportamiento de navegación

## Adversarios
- [ ] Anunciantes / brokers de datos (capacidad: recolección masiva pasiva)
- [ ] Proveedores de plataformas (capacidad: datos de primera parte)
- [ ] ISP (capacidad: metadatos de red y DNS)
- [ ] Estado / fuerzas de seguridad (capacidad: compulsión legal)

## Controles implementados
- Navegador: [nombre + configuración]
- DNS: [proveedor + protocolo]
- VPN: [proveedor o ninguno]
- Comunicaciones: [app + motivo]

## Brechas
- [ ] Riesgos identificados sin mitigación actual

Trabajar esta plantilla una vez — y revisarla cuando tus circunstancias cambien — te aporta más protección práctica que cualquier herramienta por sí sola.

---

Iterar y mantener tu modelo

Los modelos de amenazas no son estáticos. Un nuevo trabajo, un nuevo país, una nueva capacidad de un adversario o un nuevo servicio que empieces a usar pueden modificar tu perfil de riesgo. Regulaciones como el RGPD también han cambiado lo que las organizaciones deben hacer, lo que afecta a qué datos existen en primer lugar para ser expuestos.

Los navegadores centrados en privacidad publican actualizaciones que cambian sus protecciones contra el fingerprinting. Constantemente aparecen nuevas técnicas de rastreo. Revisar tu modelo de amenazas una vez al año, o tras cambios importantes en tu vida, mantiene tus defensas alineadas con tu situación real.

¿El fallo más habitual? Construir un modelo sofisticado una sola vez y no actuar nunca en consecuencia. El modelo solo sirve si impulsa cambios concretos: cambiar de navegador, activar DoH, mig