Geolocalizar una dirección MAC: cuándo se puede y cómo

Martes. Las once y cuarto de la mañana.

Te llega un encargo.

Y con él, una lista.

Catorce líneas de números y letras separados por dos puntos. Algo así:

A4:2B:8C:11:F0:3D

Direcciones MAC de redes WiFi. Catorce.

Y ya está.

Ningún nombre. Ninguna dirección. Ninguna indicación más allá de averiguar qué hay detrás de esos catorce identificadores.

Ahora… ¿por dónde empiezas?

• ¿Metes la primera en Google a ver qué sale?
• ¿Miras el fabricante del router y esperas que eso lleve a algún sitio?
• ¿Devuelves el encargo diciendo que con eso no se puede hacer nada?

Y si haces la búsqueda obvia —»geolocalizar dirección MAC»— Google te contesta con una respuesta generada por IA que dice, más o menos, que eso no se puede hacer.

Que una MAC es un identificador físico sin datos de GPS. Que como mucho puedes sacar el fabricante.

Esa respuesta está mal.

Está mal de una forma muy concreta, y merece la pena entender por qué: confunde dos cosas distintas. Una es que la dirección MAC no contenga coordenadas. Eso es cierto.

Otra muy distinta es que no se pueda averiguar dónde está. Y eso es falso, porque hay bases de datos públicas que llevan más de veinte años apuntando exactamente eso.

El principio es el mismo que usan los sistemas de posicionamiento WiFi de tu móvil cuando el GPS no llega. Solo que aquí se usa al revés.

Vamos a por ello.

 

Qué significa geolocalizar una dirección MAC

 

 

Conviene aclarar una confusión desde el principio, porque contamina hasta los resultados de búsqueda: aquí hablamos de la dirección MAC de un dispositivo de red, no del ordenador de Apple. Son cosas distintas que comparten tres letras y poco más.

Qué es exactamente una dirección MAC

Una dirección MAC es el identificador de una interfaz de red. Piensa en la matrícula que usa un aparato para hablar dentro de una red local.

Y aquí un detalle que casi nadie cuenta: no hay una MAC por aparato, hay una por interfaz.

Coge tu portátil. Tiene una dirección para la tarjeta WiFi y otra distinta para el conector del cable de red. Si además lleva Bluetooth, otra más. Tres identificadores en una sola máquina.

Cuando alguien te dice «la MAC del portátil», la pregunta correcta es: ¿la de cuál?

Y hay algo más. Muchas direcciones vienen asignadas de fábrica, pero también existen direcciones administradas localmente y direcciones aleatorias que genera el propio software.

La diferencia es la que hay entre tu DNI y el nombre que das cuando reservas mesa en un restaurante. El DNI viene dado, es único y no lo cambias.

El nombre de la reserva te lo puedes inventar cada vez. Las dos cosas te identifican en ese momento; solo una sirve para seguirte el rastro.

 

✅ Por qué «mira el fabricante» no siempre sirve

Se escribe con doce caracteres agrupados en pares y separados por dos puntos: A4:2B:8C:11:F0:3D. Verás letras mezcladas con números porque se usa un sistema de numeración que, además del 0 al 9, llega hasta la F.

En muchas direcciones asignadas de fábrica, los primeros seis caracteres corresponden a un bloque que el IEEE ha adjudicado a una organización, así que orientan sobre el fabricante.

Pero cuidado con tomárselo como regla fija. Funciona parecido a los prefijos telefónicos: hubo una época en la que los tres primeros dígitos te decían la provincia sin margen de duda.

Luego se quedaron cortos, se empezaron a repartir bloques de distintos tamaños, y la regla dejó de valer para todo.

Con las MAC pasó igual. El IEEE empezó repartiendo bloques grandes, se le acabaron, y hoy reparte bloques grandes, medianos y pequeños.

Añade a eso que en una dirección aleatoria ese dato no significa absolutamente nada, y ya tienes el motivo por el que «mira el fabricante» es un consejo que a veces no lleva a ningún sitio.

Y ahora dos siglas que van a salir en todo el artículo. Conviene no confundirlas, porque de ahí depende medio método:

• BSSID — es el identificador de una red inalámbrica concreta. Tiene formato de dirección MAC y distingue esa emisión de cualquier otra. Un mismo punto de acceso físico puede emitir varios: uno por cada red que publique, y normalmente distintos en la banda de 2,4 y en la de 5 GHz.
• SSID — es el nombre de la red. El que ves en la lista del móvil: «MOVISTAR_A4F2», «WiFi_Cafeteria». Lo pone el dueño, lo cambia cuando le apetece y se repite en miles de redes distintas.

Dicho en corto: el SSID es el nombre visible de la red; el BSSID identifica mucho más concretamente a quién la está emitiendo.

Lo de que un mismo aparato emita varios BSSID suena raro hasta que lo miras en tu casa.

Tu router probablemente publica «MiCasa» en la banda de 2,4 GHz, «MiCasa_5G» en la de 5, y a lo mejor una red de invitados.

Eso son tres BSSID distintos saliendo de la misma caja de plástico que tienes en el recibidor. Para la base de datos son tres redes independientes. Para ti es un solo router.

Y de ahí sale una consecuencia muy práctica: puedes llevar anotado el identificador de una banda y que quien pasó por esa calle registrara el de la otra.

Si una búsqueda no devuelve nada, no siempre significa que la red no esté. A veces significa que estás preguntando por la puerta equivocada de la misma casa.

 

 

👉 Por qué una MAC sí se puede geolocalizar

 

Un punto de acceso WiFi activo transmite de forma periódica unas tramas de gestión —los llamados beacon frames— que anuncian la existencia de la red y sus datos, incluido el BSSID. El intervalo por defecto suele rondar los cien milisegundos.

Piénsalo como un faro que en lugar de luz emitiera su nombre.

No espera a que nadie le pregunte y no le importa quién esté escuchando: repite «soy este, soy este, soy este» unas diez veces por segundo, de día y de noche, año tras año.

Cualquier barco que pase por delante lo oye. No hace falta entrar en el puerto, ni pedir permiso, ni que nadie se entere de que has pasado.

Eso es exactamente lo que hace un router con el WiFi encendido. Y es la razón de que todo esto funcione.

Eso es lo que ve tu móvil cuando abres la lista de redes disponibles. Todas esas redes que no son la tuya y a las que nunca te vas a conectar.

Ahora imagina a alguien recorriendo una ciudad con el WiFi encendido y el GPS activo, anotando cada red que detecta y las coordenadas exactas donde la detectó. Eso tiene nombre desde hace más de veinte años: wardriving.

Repite la operación durante veinte años, con decenas de miles de personas en todo el mundo aportando sus recorridos, y tienes una base de datos que asocia identificadores de red con puntos del mapa.

Esto no es un experimento marginal. Es el principio sobre el que funcionan los sistemas de posicionamiento WiFi.

Piensa en la última vez que estuviste en un centro comercial sin cobertura GPS y el mapa te situó igualmente.

Lo que pasó fue esto: tu móvil miró qué puntos de acceso tenía alrededor y los contrastó con una base de datos que sabe aproximadamente dónde están.

Google y Apple mantienen sus propios sistemas de localización WiFi, pero no ofrecen una base pública de consulta de BSSID comparable a la de WiGLE.

Ahí está la diferencia, y es el motivo por el que esta técnica resulta accesible para un investigador sin presupuesto de herramientas.

 

El matiz que decide si vas a sacar algo o no

Que te den «una dirección MAC» no significa nada por sí solo. Lo primero que hace un analista con ese dato es preguntarse de qué interfaz procede, porque de ahí depende todo lo demás.

El BSSID de un punto de acceso fijo lleva años emitiendo desde el mismo sitio, y por eso está en las bases de datos.

La MAC de la interfaz cliente de un móvil o un portátil es otra historia, y no debe tratarse como un identificador fijo geolocalizable.

El aparato se desplaza con su dueño y, además, los sistemas operativos modernos usan aleatorización de MAC para dificultar el seguimiento: según el sistema y la configuración, esa dirección puede mantenerse un tiempo o ir cambiando.

Lo de la aleatorización merece una explicación, porque es más fina de lo que parece.

Imagina que cada vez que entras en una tienda dieras un nombre falso distinto. Nadie podría reconstruir por qué comercios has pasado, porque en cada uno figuras como una persona diferente.

Algunos sistemas van un paso más allá: dan siempre el mismo nombre falso en la misma tienda, pero uno distinto en cada tienda.

Así el comercio te reconoce si vuelves —y puede mantener tu tarjeta de fidelización— pero dos comercios distintos no pueden cruzarte entre ellos.

Eso es la aleatorización de MAC, y por eso no puedes tratar la dirección de un móvil como una matrícula estable. Según el sistema y la configuración, esa dirección puede durar meses o cambiar cada vez.

Por eso el procedimiento de este artículo está pensado para BSSID de puntos de acceso relativamente estacionarios.

 

 

Fíjate en la cuarta fila, porque ahí está el salto de calidad.

Un BSSID suelto te da una estimación cuyo error no viene indicado en ninguna parte, y que depende de cuántas veces se observó esa red y desde cuántas direcciones distintas.

Una red vista cuarenta veces desde tres calles no vale lo mismo que una vista dos veces desde la misma acera, y la ficha te deja ver cuál de las dos tienes delante.

Esa es la lectura que hay que hacer antes de fiarse del punto.

Varios BSSID agrupados en la misma zona no estrechan matemáticamente ese error, pero sí refuerzan la coherencia espacial de la hipótesis.

Con un matiz que conviene no perder de vista: refuerzan más cuanto más claro esté que pertenecen a puntos de acceso distintos. Si son varios BSSID del mismo aparato, estás mirando el mismo dato tres veces.

Y conviene quitarse de la cabeza la imagen de las películas de espías, esa en la que tres circunferencias se cruzan y sale un punto exacto con un pitido. Aquí no pasa eso.

Es mucho más parecido a preguntar por alguien en un barrio. Si tres vecinos distintos, sin haber hablado entre ellos, te señalan la misma manzana, no has estrechado ningún círculo matemáticamente.

Pero tienes bastantes más razones para ir a mirar ahí que si te lo hubiera dicho uno solo.

Y con una cautela más, que el propio ejemplo hace evidente: los tres vecinos pueden haberse asomado a la misma ventana. Si señalan lo mismo porque han visto lo mismo desde el mismo sitio, no son tres opiniones, es una.

 

 

Cómo se consulta WiGLE, paso a paso

 

WiGLE —Wireless Geographic Logging Engine— lleva funcionando desde 2001. Es el proyecto que recoge todo ese wardriving colaborativo y lo convierte en una base consultable de redes WiFi, torres de telefonía y dispositivos Bluetooth con sus coordenadas.

Es gratuito. Y tiene una trampa que conviene conocer antes de empezar, no después.

 

✅ Paso 1: crear la cuenta

No se puede consultar nada sin registrarse. Hace falta un email real, un usuario y una contraseña, y la validación es inmediata.

Lo que sí conviene saber antes de planificar una investigación es que el servicio aplica límites de consulta. Eso es lo primero que te va a frenar.

 

 

Paso 2: la búsqueda por BSSID

Es la consulta que de verdad importa. Se introduce la dirección MAC completa del punto de acceso en el buscador de redes y, si esa red ha sido observada alguna vez por algún colaborador del proyecto, devuelve su ficha.

Lo que aparece en esa ficha: las coordenadas estimadas, el nombre de la red, y la fecha en que fue vista por primera y por última vez.

La ficha puede incluir además el tipo de cifrado o el canal observado. Son datos contextuales: sirven sobre todo para detectar cambios de configuración o para valorar lo vieja que es la observación.

Ese último dato es el que más gente ignora y el que más disgustos da. Una red observada por última vez en 2019 puede llevar años sin existir en ese punto.

 

 

Paso 3: la búsqueda por SSID

Aquí se busca por el nombre de la red en lugar de por su identificador. Funciona, pero solo en un escenario: cuando el nombre es raro.

Una red llamada «Despacho_Vilanova_2F» es un regalo. Una red llamada «MIWIFI_a4f2» es ruido. Y una red con el nombre por defecto de un operador español es directamente inservible sin otro dato que la acompañe.

La búsqueda por SSID es un plan B, no el método. Quien la vende como técnica principal está vendiendo humo.

 

Paso 4: leer el resultado como se debe leer

Aquí está el punto que separa un informe serio de una chapuza.

WiGLE no ha medido físicamente dónde está ese router. Las coordenadas que devuelve son una estimación calculada a partir de las observaciones que ha ido recopilando de esa red.

Imagina que diez personas oyeron una sirena. Cada una te dice dónde estaba y si sonaba fuerte o flojo. Con eso puedes estimar de dónde salía, aunque nadie la viera.

Basta con cruzar las posiciones dando más peso a quien la oyó más fuerte.

Con la señal WiFi el principio es parecido, y no hay que suponerlo: lo explica la propia documentación de WiGLE.

Promedian las coordenadas de todas las observaciones de esa red usando la intensidad de señal como peso, de forma que una observación con señal fuerte cuenta mucho más que una con señal débil.

Ellos mismos apuntan que el nombre correcto sería trilateración por centroide ponderado.

No hace falta que te quedes con el término. Lo que importa es lo que implica.

¿Dónde falla? Vuelve a la sirena. Si las diez personas iban por la misma acera, tu estimación se desplaza hacia esa acera por muy bien que hagas la cuenta.

Con las redes pasa igual, y es el propio WiGLE quien lo advierte: el cálculo se sostiene razonablemente salvo que la red se haya observado siempre desde el mismo lado.

Si el colaborador pasó por una sola calle y nunca dio la vuelta a la manzana, el punto queda escorado hacia esa calle.

 

 

Es una estimación espacial, y puede estar sesgada. Tratarlo como una dirección postal es el error más común y el más caro.

 

Paso 5: el límite de consultas

Y llegamos a la trampa que anunciaba.

WiGLE aplica límites de consulta y mecanismos contra el uso automatizado o abusivo.

No hay una cifra pública, y en la práctica el cupo depende del historial y la participación de cada cuenta. Una recién creada tiene mucho menos margen del que imaginas.

Lo que esto significa para trabajar: no puedes improvisar. Comprueba el cupo de tu cuenta antes de iniciar una investigación y prioriza las consultas que de verdad importan.

 

 

👉 Lo que WiGLE no te va a dar

 

Una herramienta se entiende mejor por sus límites que por su folleto. Estos son los de WiGLE, y ninguno es menor.

No identifica a nadie. Devuelve la posición estimada de un aparato. Ni nombre, ni titular de la línea, ni domicilio.

El salto de «hay un router aquí» a «esta persona vive aquí» no lo da la herramienta: lo da el investigador cruzando con otras fuentes, y es un salto que hay que justificar.

No garantiza nada. El acuerdo de licencia excluye expresamente cualquier garantía sobre los datos. Es una base colaborativa: cualquiera sube observaciones, con el equipo que tenga y la precisión que tenga.

Su cobertura es desigual. Depende de dónde haya pasado alguien con la aplicación encendida. Los centros urbanos están bien cubiertos; un polígono industrial o un pueblo pequeño pueden estar vacíos.

Que una red no aparezca no significa que no exista: significa que nadie la vio.

 

Y el límite que casi nadie menciona: la licencia

Este merece atención propia porque afecta directamente a quien cobra por investigar.

El documento que aceptas al registrarte se llama, literalmente, Individual, Non-Commercial Data License Agreement. Concede el uso de los datos para fines personales, de investigación o educativos, no comerciales.

Y en el apartado de restricciones prohíbe copiar los datos «en su totalidad o en cualquier parte» a cambio de contraprestación o beneficio comercial, además de dar acceso a terceros o compartir credenciales.

Léelo otra vez pensando en un informe facturado. Si los resultados de WiGLE van a acabar dentro de un servicio profesional remunerado, no conviene dar por supuesto que la licencia individual lo cubre.

La salida existe y está en el propio acuerdo: WiGLE ofrece licencias comerciales negociadas por correo. No es una prohibición del uso profesional, es una condición para él.

Y para un despacho que trabaja con la herramienta de forma habitual, es una conversación de diez minutos que evita un problema.

Hay otras bases de datos públicas de geolocalización WiFi además de esta, con sus propias condiciones y su propia cobertura.

Merecen su artículo aparte y su auditoría antes de recomendarlas con detalle, así que aquí se quedan mencionadas y poco más.

 

Caso práctico: el teletrabajador que no estaba donde decía

 

Un encargo como el del principio, con nombres y datos ficticios y procedimiento real.

 

Teralux Servicios Digitales SL tiene un empleado en teletrabajo, Bruno Marchena Ossorio, con residencia declarada en Madrid. Cobra un complemento vinculado a esa residencia. Y la empresa sospecha que lleva ocho meses conectándose desde otra comunidad autónoma.

Antes de tocar un solo dato: el cliente tiene que acreditar su interés legítimo en la averiguación, y esa acreditación queda documentada en el expediente de contratación. No es burocracia decorativa.

Es el requisito que la Ley 5/2014 impone antes de aceptar el encargo, y sin esa acreditación el despacho no debe aceptarlo.

El objeto del contrato se delimita con precisión: verificar el lugar habitual de prestación del servicio. Ni la vida privada del empleado, ni con quién vive, ni qué hace los fines de semana.

 

El portátil es propiedad de la empresa y ha sido devuelto en un cambio de equipo ordinario.

A partir de los registros de conexión y los artefactos que conserva la infraestructura corporativa, sistemas reúne los BSSID que el equipo observó, con sus marcas temporales.

La obtención y el análisis de esos registros presupone que la empresa puede tratarlos legítimamente dentro de sus políticas de uso y control laboral y con las garantías legalmente exigibles.

Ese análisis jurídico previo queda fuera del objeto de este caso práctico.

Y aquí hay un matiz que no conviene saltarse, porque es donde más gente da por hecho lo que no puede: la lista de redes WiFi guardadas por un sistema operativo no es un histórico de BSSID.

Windows almacena en sus perfiles el SSID y la configuración, no un registro de qué punto de acceso concreto se vio y cuándo.

Para tener BSSID con fecha tiene que existir una fuente que los haya registrado: logs de eventos, telemetría de EDR, capturas o artefactos forenses.

Y como esos nombres suenan a jerga, vale la pena traducirlos:

• Un log de eventos es el diario que el sistema escribe solo, sin que nadie se lo pida: «a las 08:12 me conecté a esta red». Existe, pero no siempre con el detalle que te gustaría.
• Un EDR es el software de seguridad que vigila los equipos de la empresa. Suele registrar bastante más que el propio sistema operativo, y normalmente lo guarda en el servidor, no en el portátil.
• La telemetría es lo que el equipo va reportando a la infraestructura corporativa mientras trabaja.

Si nada de eso existe en esa empresa, no hay caso. Y eso se comprueba antes de prometerle nada al cliente, no tres días después.

Catorce redes. De ellas, once son irrelevantes: aeropuertos, cafeterías de cadena, un hotel. Las tres que importan son las que se repiten en horario laboral, día tras día, durante meses.

Ese filtrado —separar la red que aparece una vez de la que aparece cuatrocientas— es la mitad del trabajo.

La otra mitad es no tocar lo que no toca: dentro de ese equipo hay correo personal y navegación privada que quedan fuera del objeto del encargo y ahí se quedan.

 

Tres BSSID a consultar en WiGLE. Conviene comprobar el cupo disponible de la cuenta antes de empezar, no a mitad de camino.

Los tres devuelven resultado y los tres apuntan a la misma zona: un área residencial de una ciudad costera a seiscientos kilómetros de Madrid. Las observaciones más recientes son de hace catorce meses.

Que los tres converjan en la misma zona es lo que convierte esto en una hipótesis que merece seguirse. Un BSSID aislado sería un indicio débil; varios cuya localización estimada apunta al mismo sitio refuerzan la coherencia espacial.

Ahora bien, cuidado con contarlo como si fueran tres pruebas. Podrían ser tres BSSID del mismo punto de acceso, o haber sido observados durante el mismo recorrido de wardriving.

Refuerzan la hipótesis; no la confirman. Para eso hacen falta fuentes de otro tipo, y eso es lo que toca a continuación.

 

Aquí es donde muchos informes se caen, y conviene ser tajante: un resultado de WiGLE no sostiene nada por sí solo. Es una hipótesis de trabajo, no una conclusión.

Corroborar significa buscar que otras fuentes, independientes entre sí, apunten al mismo sitio. Las direcciones IP desde las que se accedió y la zona a la que están asignadas.

La información pública que el propio investigado haya ido dejando. Cualquier otro dato que el cliente aporte y se pueda verificar por separado.

Cada fuente por su cuenta admite explicación alternativa. Varias apuntando al mismo sitio, ya no tanto.

Y hay una línea que aquí no se cruza.

El artículo 48.3 de la Ley 5/2014 excluye de la investigación privada la vida íntima que transcurre en el domicilio, y el 48.6 exige que la actuación sea proporcionada, idónea y necesaria.

El objeto legítimo del encargo puede ser determinar desde qué zona se estaría prestando habitualmente el servicio laboral, siempre que se cumplan esos tres principios.

Eso no autoriza a investigar lo que ocurre puertas adentro ni nada de la vida privada ajeno a lo contratado.

Esos tres adjetivos —necesaria, idónea, proporcionada— suenan a fórmula de manual hasta que te los traduce el abogado de la otra parte en forma de tres preguntas:

• ¿Esto servía realmente para averiguar lo que buscabas? (idónea)
• ¿No había una forma menos invasiva de averiguarlo? (necesaria)
• ¿Lo que has obtenido compensa lo que has invadido? (proporcionada)

La segunda es la que más informes se lleva por delante, y no es una pregunta retórica.

Antes de tirar del dato más invasivo hay que plantearle al cliente si eso mismo no se podía averiguar por una vía más sencilla. A veces no se puede.

Pero cuando se podía y se descartó, conviene saber por qué se descartó.

Y ahí está el punto que conviene tener claro, porque es donde más gente se atasca. La razón para no tomar el camino corto casi nunca es jurídica: es que no se quiere poner sobre aviso a la persona investigada.

Comprensible. Pero «no queríamos que se enterara» no es una respuesta que sirva cuando la otra parte pregunta si existía una alternativa menos invasiva.

La diferencia entre un informe válido y uno inservible suele estar exactamente ahí.

 

El informe recoge únicamente lo que guarda relación directa con el objeto del encargo. Cada hallazgo va con su fuente, su fecha de obtención y su margen de error declarado.

Y las coordenadas de WiGLE se presentan por lo que son: una estimación, con su fecha de última observación y sus limitaciones declaradas.

La diferencia se ve mejor con las dos frases puestas una al lado de la otra.

Escribir «el investigado se encontraba en Alicante» es regalarle el trabajo a la parte contraria: basta con preguntar cómo lo sabes para que se caiga.

Escribir «tres redes inalámbricas observadas por el equipo corporativo figuran en una base de datos pública de acceso abierto, con última observación registrada en marzo de 2025, y su localización estimada converge en la localidad de Y» es otra cosa.

Eso no se cae: hay que discutirlo. Y para discutirlo hay que entrar en el terreno donde tú tienes el método documentado y ellos no.

Redactarlo así no debilita el informe. Al contrario: mejora su trazabilidad y permite valorar el alcance real del hallazgo.

Los resultados tienen carácter reservado. Solo pueden ponerse a disposición del cliente y, en los supuestos previstos legalmente, de los órganos judiciales o policiales competentes. No es una cortesía profesional: es obligación legal.

 

 

Preguntas frecuentes sobre geolocalización por dirección MAC

 

¿Se puede geolocalizar la MAC de un móvil o solo la de un punto de acceso?

Este método está pensado para BSSID de puntos de acceso relativamente estacionarios.

Una MAC correspondiente a un dispositivo cliente —un móvil, un portátil— no se interpreta igual.

El aparato se desplaza con su dueño, y los sistemas operativos modernos usan aleatorización de MAC para dificultar el seguimiento.

Según el sistema y la configuración, esa dirección puede mantenerse durante un tiempo o ir cambiando.

Por eso no debe tratarse como un identificador fijo que se pueda buscar en estas bases de datos.

 

¿Es legal consultar WiGLE desde España?

Que la información sea públicamente accesible no la saca automáticamente de la normativa de protección de datos.

La pregunta relevante es otra: qué información se trata, con qué finalidad, y si puede vincularse razonablemente a una persona física identificada o identificable.

La AEPD ha considerado que una dirección MAC puede ser dato personal cuando permite singularizar o seguir a un usuario.

Pero conviene leer bien el informe 0017/2019: analiza el seguimiento de terminales móviles de clientes mediante señales WiFi dentro de establecimientos.

No establece que todo BSSID de un punto de acceso sea automáticamente dato personal en cualquier contexto.

La diferencia importa, y se entiende con un ejemplo.

Un BSSID aislado es como un número de portal sin calle y sin ciudad: por sí solo no identifica necesariamente a nadie.

Que sea o no dato personal depende del contexto y de si puede asociarse razonablemente, de forma directa o indirecta, con una persona identificada o identificable.

El problema aparece en el cruce.

Cuando ese identificador se junta con una ubicación, y esa ubicación con un domicilio, y ese domicilio con un nombre, ya no estás consultando una base pública: estás construyendo un perfil de una persona concreta.

Y eso es otra cosa, con otras obligaciones.

El BSSID de un router doméstico puede recorrer ese camino entero con facilidad. El de la red de un aeropuerto lo tiene mucho más difícil.

Si la consulta y el cruce posterior permiten asociar la ubicación de una red con una persona física determinada, hay que analizar base jurídica, necesidad y proporcionalidad del tratamiento.

Dicho de otro modo: la pregunta correcta no es si la base de datos es pública. Es qué estás haciendo con lo que sacas de ella.

 

¿Puede aportarse un resultado de WiGLE como prueba en un procedimiento?

Puede formar parte del material probatorio o de un informe, pero su fuerza dependerá de cómo se haya obtenido y documentado, de su antigüedad, de si el dato puede verificarse, de las limitaciones de la fuente y de si converge con otras evidencias.

Hay tres cosas que juegan en contra si se presenta solo: la licencia excluye cualquier garantía sobre los datos, las coordenadas son una estimación y no una medición, y el registro puede tener años.

Por eso resulta mucho más sólido presentarlo como indicio técnico corroborado por otras fuentes que atribuirle por sí mismo una ubicación cierta.

La evidencia digital se sostiene sobre trazabilidad y corroboración, y conviene documentar el hallazgo en el momento en que se obtiene, porque la ficha puede cambiar.

 

¿Puede una empresa o un particular hacer esto sin contratar a un detective?

Hay que distinguir dos situaciones que se confunden mucho.

Una empresa puede adoptar medidas propias de vigilancia y control para verificar que sus trabajadores cumplen sus obligaciones laborales, dentro de los límites que marcan la legislación laboral, la de protección de datos y los derechos fundamentales.

Para eso no necesita contratar a nadie.

Otra cosa distinta es encargar a un tercero averiguaciones profesionales sobre conductas o hechos privados.

Los artículos 5 y 48 de la Ley 5/2014 de Seguridad Privada reservan los servicios de investigación privada por cuenta de terceros a los despachos de detectives habilitados, y exigen que el cliente acredite un interés legítimo.

Un ejemplo simple lo deja claro.

Que la empresa mire los registros de acceso de su propia puerta para ver a qué hora ficha un empleado es control laboral: son sus instalaciones y sus sistemas.

Que contrate a alguien para seguir a ese empleado un sábado por la mañana es investigación privada.

Lo primero puede hacerlo ella. Lo segundo solo puede encargarlo, y solo a quien esté habilitado para recibirlo.

Consultar redes propias o hacerlo con fines formativos o de auditoría sobre infraestructura propia no requiere habilitación de ningún tipo. Si te interesa el recorrido profesional completo, está desarrollado en cómo llegar a ser detective privado.

 

¿Por qué me dice que he superado el límite de consultas si acabo de registrarme?

Porque el cupo no es fijo: depende del historial y la participación de tu cuenta, y una recién creada tiene poco margen.

El sistema está pensado para frenar a quien intenta vaciar la base de datos con programas automáticos. Comprueba el cupo antes de planificar una sesión larga.

 

Qué hacer con esto a partir de ahora

 

Un identificador de red es uno de esos datos que casi todo el mundo descarta por inútil. Catorce líneas de hexadecimal en un informe de sistemas no parecen gran cosa.

Y sin embargo, ahí dentro puede haber ocho meses de una conducta que nadie conseguía documentar.

La técnica no es complicada.

Lo que separa a quien saca algo de quien no son tres cosas: entender qué tipo de MAC tiene delante, leer el resultado como la estimación que es y no como una dirección postal, y saber cuándo hay que dejar de tirar del hilo.

Como pasa con casi todo en OSINT: el dato está disponible para cualquiera. La diferencia la marca el método.

Si quieres el marco completo dentro del que encaja esta pieza, lo tienes en la guía de cómo investigar a una persona.

Y si lo que tienes entre manos es una imagen en vez de un identificador de red, las vías alternativas están en metadatos de fotos y en identificar la ubicación de una persona.

Para continuar por otras fuentes, tienes el procedimiento para geolocalizar una foto y contrastar cuándo se hizo. Si lo que necesitas es reconstruir lo ocurrido en un punto concreto, consulta cómo localizar cámaras y solicitar la conservación de sus grabaciones.

 

 

La próxima vez que alguien te diga que con una dirección MAC no se puede hacer nada, ya sabes que depende de qué MAC sea y de quién la mire.

Como decía Sherlock Holmes: ya conoces mis métodos, ahora aplícalos 😉