LinkedIn espía a los usuarios: unos scripts se encargan de recopilar tus datos

BleepingComputer afirma haber comprobado por su cuenta que LinkedIn carga un script JavaScript en los navegadores Chromium. Gracias a este script intenta detectar extensiones instaladas en el navegador probando recursos asociados a IDs concretos. Ese método no es nuevo. Las páginas web pueden detectar ciertas extensiones accediendo a "web_accessible_resources", algo documentado tanto por BrowserLeaks como por la documentación de extensiones del ecosistema Chromium.

BleepingComputer dice haber visto como el script comprobaba 6.236 extensiones y recogía datos del dispositivo. En concreto, recopilaba información del hardware. Entre la información está el número de núcleos de la CPU, memoria disponible, resolución de pantalla, zona horaria, idioma, batería, audio y almacenamiento.

LinkedIn no niega la carga de este script, e indica que permite reforzar su seguridad

Donde empieza la controversia es en la interpretación de para qué sirve esa recolección de datos. El informe BrowserGate, publicado por Fairlinked e.V., sostiene que LinkedIn no solo detecta extensiones, sino que eso le permitiría saber qué herramientas están utilizando personas y empresas concretas, incluyendo productos rivales como Apollo, Lusha o ZoomInfo, y hasta inferir categorías especialmente delicadas. El propio informe emplea un tono muy acusatorio y habla de “espionaje corporativo” y de datos potencialmente sensibles. Aunque no se ha podido verificar de forma independiente a dónde van a parar esos datos.

LinkedIn respondió a BleepingComputer afirmando que sí, que son capaces de detectar determinadas extensiones. Ahora bien, defiende que lo hacen para localizar add-ons que hacen scraping, inyectan contenido o vulneran sus términos y condiciones. Esto les permite tanto reforzar sus defensas y la estabilidad del servicio. También afirmó que no usa esos datos para inferir información sensible sobre los miembros. Además, encuadró el informe dentro de una disputa previa con una cuenta restringida por scraping y citó un revés judicial preliminar en Alemania para esa otra parte. Eso no desmonta por sí mismo las dudas de privacidad, pero sí obliga a leer el caso como una mezcla de hallazgo técnico real y conflicto comercial/legal entre LinkedIn y actores de su ecosistema.

En la política de privacidad, la compañía no menciona nada de este script que recopila información

Otro matiz importante: la afirmación de BrowserGate de que la política de privacidad no menciona esto. La política general de LinkedIn sí dice que recoge información sobre red y dispositivo. Esto incluye al navegador y “add-ons”, y su aviso europeo habla de la IP, ID del dispositivo, user agent, navegador, sistema operativo y otros identificadores online obtenidos mediante cookies y tecnologías similares, incluso para seguridad, fraude, analítica o mejora del servicio.

Lo que no aparece descrito con esa precisión es una comprobación masiva y específica de extensiones concretas mediante recursos internos expuestos. Dicho de otro modo: hay cobertura general sobre datos del navegador y dispositivo, pero no una explicación transparente y granular del mecanismo exacto descubierto.

En el plano legal, si bien no existe una resolución pública que declare ilegal este caso concreto de LinkedIn a fecha de hoy, el marco regulatorio europeo y británico sí apunta a que la cosa puede ser delicada. El Comité Europeo de Protección de Datos deja claro que la Directiva ePrivacy no se limita a cookies y también alcanza a tecnologías similares y a la huella digital. La Oficina del Comisionado de Información británica, por su parte, incluye expresamente la huella digital, scripts y tags dentro de las tecnologías de “almacenamiento y acceso” que, salvo excepciones, exigen consentimiento o una base muy clara. Eso no equivale a una condena automática de LinkedIn, pero sí significa que la defensa de “esto es solo seguridad anti-scraping” tendría que encajar muy bien en una excepción y en un estándar alto de transparencia.