Las gafas con cámara no son silenciosas. Anuncian su presencia por Bluetooth Low Energy con el identificador de su fabricante, igual que unos audífonos o un smartwatch. Un desarrollador polaco de 30 años, Pawel Szydlowski, compró varios modelos, capturó esas tramas y las convirtió en firmas. El resultado se llama ZuckOff y esta semana llegó dos veces a la portada de Hacker News: una app gratuita que le dice a tu teléfono cuándo hay unas Ray-Ban Meta, unas Oakley Meta o unas Snap Spectacles en la habitación.
Qué pasó
ZuckOff escucha el tráfico BLE del entorno y levanta una bandera cuando el identificador de fabricante coincide con hardware de captura conocido. No intercepta nada, no descifra nada, no manda datos a ningún servidor: lee lo que los dispositivos ya están gritando al aire por diseño. Según el reporte de WIRED Middle East, acumuló más de 5,000 descargas en la App Store en su primer mes y unas 1,000 en Google Play.
El contexto explica la tracción. Se vendieron alrededor de siete millones de pares de gafas inteligentes de Meta durante 2025, y el mecanismo de consentimiento que las acompaña es un LED diminuto. Ese LED se derrota con un pedazo de cinta. En enero, una investigación de la BBC rastreó decenas de cuentas dedicadas a publicar material grabado con estas gafas; una de ellas difundió el rostro y el número de teléfono de una mujer de 21 años en un video con 1.3 millones de vistas. En julio, Meta anunció que empujaría una actualización capaz de detectar cuando el indicador fue manipulado o destruido, y de bloquear la grabación en esos casos. Su CTO, Andrew Bosworth, insiste en que la cámara fue diseñada para ser notada — un argumento incómodo cuando uno de los principales ganchos comerciales del producto es precisamente que no parece una cámara.
Por qué importa
Aquí no hay un CVE ni un parche. Hay algo más interesante: un producto de consumo masivo cuyo modelo de privacidad se sostenía en que nadie podía auditarlo desde fuera, y un desarrollador independiente que lo volvió observable con un teléfono y tres tardes de captura de paquetes.
Y es difícil de apagar. ZuckOff no rompe ningún término de servicio de Meta porque no toca sus servicios; no viola leyes de intercepción porque los advertisements BLE son emisiones públicas no dirigidas. Legalmente es lo mismo que mirar una placa de auto. La técnica, además, es trivial de replicar: cualquiera puede reconstruir la tabla de firmas.
El detalle técnico
La detección se apoya en el campo de manufacturer specific data del advertisement BLE y en UUIDs de servicio registrados. El propio autor publica las reglas, que es lo correcto: una detección que no se puede auditar no vale nada.
Las limitaciones importan tanto como las capacidades, y el autor las documenta sin adornos. La app no sabe si las gafas están grabando, ni quién las trae puestas, ni en qué dirección están: la intensidad de señal da una distancia aproximada y nada más. Los dispositivos son más ruidosos al encender, al emparejarse o al salir del estuche; la mayoría sigue anunciándose mientras se usa, pero algunos modelos autónomos se quedan callados. Silencio no es prueba de que nadie graba, y una detección no es prueba de que alguien lo haga.
Qué hacer
Para quien trabaja en seguridad corporativa, lo relevante no es la app del consumidor sino la técnica. Es exactamente lo que hace un WIPS: fingerprinting de radio por identificador de fabricante. Si tu organización tiene salas de junta, laboratorios, pisos de trading o áreas con información sensible, esas firmas son reglas de detección que puedes poner hoy en el sensor Bluetooth que ya tienes desplegado — y si tu política de dispositivos prohibidos aún se escribe pensando en teléfonos y cámaras GoPro, está una generación de hardware atrasada. El anexo se actualiza con un párrafo; los sensores, con una lista de IDs.
La lectura de fondo es la que me deja pensando. Cuando el consentimiento depende de un LED de dos milímetros, la única defensa práctica que queda es la escucha pasiva del espectro: vigilancia contra vigilancia, cada uno en su capa. ZuckOff no arregla el problema, lo hace visible, que es distinto y más honesto que lo que ofrece el fabricante. Que la contramedida más efectiva contra la captura ubicua haya salido de un desarrollador independiente con un presupuesto de segunda mano, y no del regulador ni del vendor, dice bastante sobre quién está haciendo el trabajo de privacidad en 2026.