De Cambridge Analytica a Spiritual Nebula: La evolución del riesgo en el manejo de datos personales

El escándalo de Cambridge Analytica en 2018 reveló cómo una empresa pudo obtener datos personales de más de 80 millones de usuarios de Facebook sin su consentimiento explícito. La estrategia fue aparentemente simple: una aplicación académica que recopiló información no solo de quienes la descargaron, sino también de sus contactos.

El cúmulo de datos fue posteriormente vendido por 800.000 dólares a Cambridge Analytica, que los utilizó para crear perfiles psicológicos detallados y dirigir mensajes políticos personalizados durante la campaña presidencial de Donald Trump.

La manipulación fue posible porque la empresa logró identificar patrones de comportamiento y preferencias políticas de millones de personas, permitiéndoles micro-segmentar audiencias y enviar mensajes diseñados específicamente para influir en votantes indecisos.

Este caso expuso cómo los datos personales, aparentemente inofensivos, pueden convertirse en herramientas de manipulación masiva cuando se combinan con algoritmos sofisticados y intenciones maliciosas.

La nueva frontera: datos biométricos y apps que apelan a intereses tendencia

Mientras el mundo aún procesaba las lecciones de Cambridge Analytica, han surgido nuevos modelos de negocio que plantean riesgos aún mayores. Ejemplo de esto es: Spiritual Nebula Limited, una empresa registrada en Chipre, que puede representar esta nueva generación de amenazas a la privacidad. Su modelo de negocio se basa en ofrecer servicios astrológicos y espirituales que requieren información extremadamente sensible de los usuarios.

La empresa recopila datos voluntarios que incluyen nombres completos, direcciones de correo electrónico, fecha, lugar y hora exacta de nacimiento, así como imágenes del rostro y de las palmas de las manos. Adicionalmente, como muchas aplicaciones, también capturan datos automáticos como direcciones IP, identificadores únicos de dispositivos y patrones detallados de uso dentro de la aplicación.

Los riesgos ocultos de ofrecer voluntariamente nuestros datos

La combinación de datos que pueden recopilar aplicaciones como Spiritual Nebula Limited es particularmente preocupante por varias razones. Con estos datos (fecha de nacimiento + correo) se pueden organizar ataques de phishing suplantando entidades bancarias. Si a esto le agregamos los datos biométricos, se puede crear un perfil bastante completo de una persona para abrir cuentas bancarias, solicitar créditos o realizar fraudes en nombre del usuario.

Los datos biométricos (rostro y palma de la mano) son únicos, y si son «cedidos voluntariamente», pueden usarse en sistemas de reconocimiento facial o de huella/palma para acceso no autorizado a sistemas de autenticación biométrica (suplantación de identidad), creación de deepfakes (fines publicitarios, contenido con IA o perfiles falsos) o ser vendidos directamente en la deepweb.

Vulnerabilidades y falta de transparencia

La ubicación de Spiritual Nebula Limited en Chipre no es casual. Muchas empresas tecnológicas eligen jurisdicciones con marcos regulatorios más flexibles para evitar las estrictas leyes de protección de datos de la Unión Europea o Estados Unidos. Esto significa que los usuarios tienen menor protección legal y recursos limitados en caso de mal uso de sus datos.

Además, el contexto «espiritual» de la aplicación puede crear una falsa sensación de seguridad. Los usuarios pueden sentirse más dispuestos a compartir información íntima porque perciben el servicio como personal y confidencial, similar a una consulta con un consejero espiritual. Esta confianza mal depositada puede llevar a una revelación excesiva de datos sensibles.

Patrones de riesgo: del microtargeting político a la manipulación personal

El caso de Cambridge Analytica fue un despertar sobre los riesgos de los datos de redes sociales tradicionales. Spiritual Nebula Limited y empresas similares representan la siguiente frontera de riesgo: la recopilación de datos biométricos y psicológicos profundos bajo pretextos aparentemente inofensivos.

Los usuarios deben ser conscientes de que cada dato compartido tiene potencial de mal uso, especialmente cuando se trata de información biométrica permanente. Las autoridades regulatorias necesitan evolucionar sus marcos legales para abordar estos nuevos modelos de negocio que operan en zonas grises jurisdiccionales (ejemplo: empresas ubicadas en Chipre que cuenta con una legislación laxa en materia de protección de datos).

Reflexiones y recomendaciones finales

La protección de la privacidad en la era digital requiere no solo mejores leyes, sino también una ciudadanía más informada sobre los verdaderos riesgos de compartir información personal, sin importar cuán espiritual o inofensiva pueda parecer la solicitud.

Por eso, investiguen la aplicación antes de usarla, lean los términos y condiciones (especial atención a la comercialización de datos con terceros), si solicitan datos sensibles como los biométricos (rostros y palma de la mano), simplemente abandonen esa plataforma, y no compartan otros datos como: fecha y lugar de nacimiento y/o correo electrónico, entre otros.

EYNG, junio de 2025