Las redes sociales se han convertido en una extensión de nuestra identidad. En España, el usuario medio visita ya 7,2 plataformas al mes y cada una concentra una parte distinta de su vida. En una cuenta dónde trabaja, en otra muestra a su familia, en otra deja su voz y su imagen y en otra se relaciona con amigos, compañeros o empresas. Separados, muchos de esos datos pueden parecer inofensivos. Juntos, sin embargo, dibujan un perfil cada vez más preciso que los ciberdelincuentes pueden aprovechar para automatizar con inteligencia artificial técnicas de reconocimiento, suplantación o phishing personalizado. Y hay además una parte de esta exposición mucho menos visible, la que aceptamos, casi siempre sin leer, cada vez que damos por buenas las condiciones de uso y las políticas de privacidad de una red social.
Cuando nuestro contenido se convierte en materia prima para la IA
En abril de 2025, Meta anunció oficialmente que empezaría a utilizar en la Unión Europea (UE) determinado contenido público de usuarios adultos como sus publicaciones y comentarios de perfiles. Y, las interacciones con Meta AI para desarrollar y mejorar sus modelos generativos. La base jurídica que esgrimió fue el interés legítimo, y no el consentimiento. Por eso, el mecanismo establecido fue esencialmente de opt-out, “es decir, el tratamiento se produciría salvo que el usuario ejerciera su derecho de oposición”. Explica Hervé Lambert, Global Consumer Operation Manager de Panda Security. En ese momento, la compañía dirigida por Mark Zuckerberg informó vía mail a su base de usuarios de este cambio y muchos de ellos decidieron impedir el uso de su contenido.
Pero, en julio de 2026 ocurrió otra cosa. Meta introdujo una función de generación de imágenes que permitía utilizar contenido público de Instagram de otras personas para generar imágenes mediante IA. “Es decir, se podía etiquetar a determinadas cuentas públicas en un prompt y utilizar su apariencia como referencia”. Cuenta el experto de Panda Security. Esta opción también estaba activada por defecto y era el usuario quien tenía que desactivarla. “Después de una reacción muy negativa, incluida una protesta de SAG-AFTRA por el riesgo de réplicas digitales no consentidas, Meta retiró esta funcionalidad pocos días después”, recuerda Lambert.
Cuando toda nuestra información empieza a encajar
Estos hechos, más allá de hacernos pensar en cómo llevamos años ofreciendo nuestra privacidad en bandeja, debería también invitarnos a reflexionar sobre cómo puede llegar a afectar a nuestra ciberseguridad.
“Durante años, hemos tendido a pensar en el contenido que publicamos en redes como un elemento aislado”, dice el experto. “Como algo que sólo nos afecta a nosotros y a quienes nos conocen”. Una fotografía, nuestro puesto de trabajo, un comentario sobre dónde estamos de vacaciones, el nombre de nuestra mascota, de nuestros hijos, sus caras, las felicitaciones de cumpleaños… “Información que, individualmente puede parecer irrelevante, pero que cuando se correlaciona puede suponer un problema”, advierte. “Porque ese contenido se está convirtiendo en materia prima para sistemas capaces de recrearnos”.
Una identidad digital repartida entre múltiples plataformas
Según el informe Digital 2026 Global Overview Report, elaborado por DataReportal a partir de datos de GWI, dos de cada tres personas en el mundo utilizan redes sociales. Además, esta investigación sitúa en 6,75 el número medio de plataformas sociales que los adultos de 16 años o más utilizan al mes, siendo Facebook la más usada. Si nos fijamos en España, es Whatsapp la que más se utiliza, según el Estudio de Redes Sociales 2026 de IAB Spain. Que también concluye que el usuario español visita de media 7,2 redes sociales al mes, un incremento de casi 36% con respecto al año anterior cuando eran 5,3 según la misma publicación. Estos datos revelan que “ya no tenemos una única identidad digital, sino que la hemos repartido entre múltiples plataformas y cada una conoce y expone piezas diferentes de nosotros”, reflexiona Lambert.
Desde el punto de vista de la ciberseguridad, ahora tenemos una mayor superficie de ataque. “Siete plataformas pueden significar siete cuentas, diferentes mecanismos de recuperación, aplicaciones conectadas, permisos, mensajes privados y potenciales puertas de entrada”. Avisa el experto, quien puntualiza que, aunque esto no quiere decir que todas sean inseguras, “aumenta el número de puntos que el usuario debe proteger”. Así, basta con que uno de ellos sea débil (una contraseña reutilizada, una cuenta antigua sin MFA, una aplicación de terceros comprometida) para que pueda convertirse en punto de partida de un incidente.
Además, estamos distribuyendo una enorme cantidad de información. Cada plataforma puede contar una parte distinta de nuestra vida. LinkedIn puede revelar dónde trabajamos y qué hacemos. Instagram, nuestro entorno personal, viajes o aficiones. Facebook, relaciones familiares y personales. TikTok o YouTube aportan nuestra cara, nuestra voz y nuestros gestos. Mientras que WhatsApp está vinculado directamente a nuestro número de teléfono y a buena parte de nuestra red de contactos.
Cuando la información pública facilita un ataque
“El riesgo aparece cuando se encajan todas esas piezas”, señala Lambert. Un ciberdelincuente no necesita encontrar publicada nuestra contraseña. Puede resultar mucho más útil descubrir cómo se llama nuestro jefe, dónde trabajamos, a qué evento profesional acabamos de asistir, quiénes son nuestros compañeros o con qué empresas trabajamos. Y, con esa información, construir un spear phishing mucho más convincente.
De la huella digital a una nueva generación de ciberataques
La información pública siempre ha podido utilizarse para investigar a una potencial víctima. Es lo que en ciberseguridad se conoce como OSINT, siglas de Open Source Intelligence. Consiste en recopilar y analizar información disponible en fuentes abiertas. Tradicionalmente, hacerlo de forma exhaustiva requería tiempo. Había que localizar las cuentas de una persona, revisar sus publicaciones, identificar relaciones, cruzar información y preparar después un engaño suficientemente creíble.
La inteligencia artificial permite automatizar una parte creciente de ese proceso. “Lo preocupante no es únicamente cuánto saben las redes sociales de nosotros, sino lo fácil que empieza a ser convertir toda esa información dispersa en algo útil para un atacante”, advierte Lambert. Las herramientas automatizadas pueden ayudar a ordenar información, detectar relaciones o adaptar el lenguaje de un mensaje a una víctima determinada. Y cuando a esa huella digital se suman fotografías, vídeos y grabaciones de voz aparece además la posibilidad de generar imágenes falsas, clonar voces o crear deepfakes que refuercen una suplantación.
Esto puede modificar también la economía del ciberdelito. Preparar un ataque extremadamente personalizado contra una sola persona podía no compensar el esfuerzo salvo que se tratara de un objetivo de especial interés. “Si parte de ese trabajo puede automatizarse, el coste de personalizar el ataque disminuye y potencialmente aumenta el número de personas contra las que resulta rentable intentarlo”, explica Lambert.
Pero hay otra parte de nuestra exposición que resulta mucho menos evidente. Nuestra presencia en tantas redes implica también aceptar diferentes condiciones de uso y políticas de privacidad, además de sus sucesivas modificaciones. Y esa letra pequeña determina cuestiones tan importantes como qué datos se recopilan, qué permisos concedemos, qué terceros pueden interactuar con nuestra cuenta, cuánto tiempo puede conservarse determinada información o qué derechos otorgamos sobre el contenido que publicamos.
Lo que aceptamos sin leer
Muchas plataformas establecen que el usuario conserva la propiedad o determinados derechos sobre aquello que publica. Pero concede al mismo tiempo a la compañía una licencia para alojarlo, reproducirlo, distribuirlo o utilizarlo de determinadas maneras.
LinkedIn, por ejemplo, establece en su acuerdo de usuario que seguimos siendo propietarios del contenido que enviamos o publicamos. Pero le concedemos una licencia mundial, transferible y sublicenciable para utilizarlo, copiarlo, modificarlo, distribuirlo, publicarlo y procesarlo en los términos establecidos en el propio contrato.
“Aceptar las condiciones de una plataforma no significa que dejemos de ser propietarios de nuestras fotografías. Pero sí que podemos estar autorizando usos cuyo alcance desconocemos porque prácticamente nadie lee las condiciones antes de abrir una cuenta”. Explica Lambert.
La inteligencia artificial ha añadido una nueva dimensión a esta cuestión. Fotografías, vídeos y grabaciones de voz tienen ahora un valor que va más allá del contexto en el que decidimos publicarlos y pueden proporcionar material útil para generar imágenes, replicar una voz o construir una suplantación.
Aquí, sin embargo, conviene separar privacidad y ciberseguridad. Que una plataforma tenga determinados derechos contractuales sobre una fotografía no significa que un ciberdelincuente pueda acceder a ella ni constituye por sí mismo una vulnerabilidad. “El riesgo aparece cuando perdemos de vista cuánto material sobre nuestra identidad estamos dejando disponible y qué puede hacerse con él”. Puntualiza Lambert.
Para la mayoría de los usuarios, la probabilidad de sufrir una suplantación sofisticada seguirá siendo limitada. El riesgo puede ser mucho mayor para directivos, responsables financieros, periodistas, portavoces, administradores de sistemas o personas con una elevada exposición pública.
Lo que saben aunque no lo publiquemos
El contenido que compartimos es solo una parte de nuestra huella. Las propias políticas de privacidad muestran que las plataformas pueden tratar mucha más información.
Meta explica, por ejemplo, que dependiendo de cómo utilicemos sus productos puede recopilar información sobre el contenido que creamos, nuestras interacciones, las funciones que utilizamos, determinados metadatos del contenido o información procedente de los dispositivos. Su política contempla también el uso de información entre distintos productos del ecosistema Meta.
WhatsApp ofrece un ejemplo especialmente interesante de la diferencia entre contenido y contexto. Los mensajes personales y las llamadas están protegidos mediante cifrado de extremo a extremo, lo que impide que WhatsApp pueda acceder a su contenido durante la transmisión. Sin embargo, eso no significa que toda la información relacionada con nuestra utilización del servicio esté protegida de la misma manera. La propia política europea de WhatsApp distingue el contenido cifrado de otros datos asociados a la cuenta y al funcionamiento del servicio.
“Aquí es importante no confundir privacidad con ciberseguridad”, advierte Lambert. “Que una red social conozca determinada información sobre nosotros no significa que esa información esté al alcance de un atacante”.
El problema aparece si una cuenta es comprometida, se produce una brecha de datos o un tercero consigue acceder indebidamente a información que debería permanecer protegida. Cuantos más datos estén vinculados a nuestra identidad digital, mayor puede ser el impacto potencial de un incidente. Es el mismo principio de minimización que se aplica en cualquier entorno de seguridad. Aquello que no se recopila, no se conserva o ya no existe tampoco puede quedar expuesto posteriormente.
La puerta que dejamos abierta hace cinco años
Una de las derivadas más claras de ciberseguridad aparece en las aplicaciones y servicios que conectamos a nuestras redes sociales. Durante años hemos utilizado estas cuentas para iniciar sesión en otros servicios, sincronizar contactos o autorizar herramientas que prometían desde descubrir quién había dejado de seguirnos hasta generar un avatar con nuestra cara.
Y algunos de esos permisos pueden ser importantes. X explica en su propia documentación que, dependiendo del nivel de acceso autorizado, una aplicación conectada puede consultar determinada información de la cuenta, publicar contenido en nuestro nombre, modificar aspectos del perfil, acceder a mensajes directos o conocer el correo electrónico asociado a la cuenta.
“El problema es que muchas veces recordamos perfectamente qué aplicaciones tenemos instaladas en el móvil, pero no qué servicios autorizamos hace tres o cinco años para acceder a nuestras cuentas”, señala Lambert.
Aquí la relación con la ciberseguridad es directa. Una aplicación maliciosa, vulnerable, abandonada o posteriormente comprometida puede convertirse en un nuevo punto de exposición dependiendo de los permisos que conserve. La seguridad deja entonces de depender exclusivamente de la red social y del propio usuario y pasa a incorporar un tercer actor al que quizá ni siquiera recordamos haber autorizado.
Por eso las propias plataformas recomiendan revisar periódicamente los servicios conectados y revocar aquellos que ya no se utilizan. En cuentas profesionales, corporativas o con privilegios elevados este control resulta especialmente importante.
Cuando nuestros datos salen de la red social
LinkedIn advierte en su política de privacidad de otra consecuencia que suele pasar inadvertida. Cuando vinculamos nuestra cuenta con determinados servicios externos, cierta información puede quedar disponible para esos terceros. Esta pasa a tratarse conforme a sus propias políticas de privacidad.
La propia compañía señala que esos servicios pueden utilizar los datos de maneras diferentes a LinkedIn. Y que determinada información almacenada por ellos puede no reflejar posteriormente los cambios realizados en la plataforma.
Desde la perspectiva de seguridad, esto introduce una cuestión importante. Cada nuevo servicio al que permitimos acceder a determinados datos amplía el número de actores que intervienen en nuestra identidad digital. Eso no significa que compartir información con un tercero sea inseguro por definición, pero sí aumenta el ecosistema que debemos conocer y controlar.
Cuando no elegir también es una elección
El caso de Meta pone sobre la mesa otro elemento fundamental, las configuraciones predeterminadas. Quién puede encontrarnos, enviarnos mensajes, etiquetarnos, interactuar con nuestro contenido o reutilizarlo depende en buena medida de las opciones de privacidad que ofrece cada plataforma y de cómo estén configuradas.
TikTok, por ejemplo, permite decidir si una cuenta es pública o privada. Y ofrece controles independientes sobre quién puede enviar mensajes, comentar, utilizar las funciones Duet o Stitch o descargar determinados vídeos.
“Desde el punto de vista de seguridad, lo importante es entender que la configuración puede determinar cuánta información dejamos accesible a otras personas”. Explica Lambert.
Una configuración abierta no constituye una vulnerabilidad. Sin embargo, una mayor exposición pública facilita la recopilación de información mediante técnicas OSINT. Y puede proporcionar más contexto para campañas de phishing, suplantación o ingeniería social.
Tampoco todos los usuarios afrontan el mismo riesgo. Que sean públicas las aficiones o el lugar de trabajo de un particular puede tener un impacto relativamente pequeño. Para un CEO, un administrador de sistemas, un responsable financiero o un empleado con acceso a información sensible, esos mismos datos pueden ayudar a identificarlo como objetivo y construir un ataque específicamente dirigido contra él.
Borrar no siempre significa desaparecer
También merece la pena detenerse en lo que ocurre cuando eliminamos contenido, revocamos un permiso o cerramos una cuenta.
LinkedIn especifica, por ejemplo, que la licencia sobre determinado contenido puede no terminar inmediatamente si otras personas lo han copiado o compartido. Si ya había sido sublicenciado dentro de los límites de sus condiciones o mientras permanece temporalmente almacenado en copias de seguridad.
Además, cuando nuestros datos han llegado legítimamente a un servicio externo. Eliminarlos o modificarlos en la red social original no implica necesariamente que desaparezcan de ese tercero.
Desde la perspectiva de ciberseguridad, la lógica es sencilla. Cuanto mayor sea el volumen de información almacenada y cuantos más lugares contengan copias de ella, mayor puede ser el conjunto de datos potencialmente afectados si en algún momento se produce un incidente. Eso no significa que conservar información sea inseguro ni que vaya a producirse una filtración. Significa que la minimización ayuda a reducir las consecuencias potenciales cuando algo falla.
Por eso, quizá el mayor peligro de las condiciones de uso de las redes sociales no esté en una cláusula secreta que entregue nuestros datos a los ciberdelincuentes. No existe tal cosa.
“El problema es mucho menos espectacular y precisamente por eso pasa desapercibido”. Concluye Lambert. “Abrimos cuentas, concedemos permisos, dejamos información pública, conectamos aplicaciones. Y acumulamos años de fotografías, relaciones y actividad sin plantearnos qué aspecto tiene todo eso cuando se observa en conjunto”.
Las condiciones de uso y las políticas de privacidad determinan una parte de ese ecosistema. Nuestras decisiones determinan otra. Y es la suma de ambas la que termina dibujando nuestra verdadera superficie de exposición digital.
