La actualización de reCAPTCHA de Google bloquea el acceso a la web a teléfonos Android «desgoogleizados»

Redacción. — Google ha actualizado su sistema reCAPTCHA, ahora denominado «Cloud Fraud Defense», introduciendo una verificación mediante código QR que requiere Google Play Services o su equivalente en iOS. Esta medida impide la acceso a la web en teléfonos Android «desgoogleizados», como los que ejecutan GrapheneOS o CalyxOS, lo que ha generado críticas de defensores de la privacidad, quienes la califican como una práctica anticompetitiva y un nuevo estándar de «cárcel del proveedor».

¿Qué ha cambiado en reCAPTCHA? La nueva verificación con QR

Google anunció a finales de abril el lanzamiento de «Cloud Fraud Defense», al que calificó como «la próxima evolución de reCAPTCHA». La principal novedad es un flujo de verificación móvil que muestra un código QR al usuario para completar el proceso de autenticación.

El requisito técnico fundamental para superar esta verificación es que el dispositivo cuente con Google Play Services, en su versión 25.41.30 o superior, o iOS, en su versión 15.0 o superior. Sin Google Play Services, el sistema operativo no es considerado «certificado» por Google, quedando automáticamente excluido de la verificación.

El equipo de GrapheneOS, uno de los sistemas operativos alternativos más conocidos, fue contundente en su crítica:

«Requerir que las personas tengan un dispositivo Apple o un dispositivo Android certificado por Google es anticompetitivo, no seguridad».

Reacciones de la comunidad: «Privacidad como comportamiento sospechoso»

Las críticas no se limitaron al equipo de GrapheneOS. Jameson Lopp, investigador de seguridad especializado en Bitcoin, expresó su preocupación: «Los internautas preocupados por la privacidad están siendo degradados de ciudadanos digitales de segunda a tercera clase».

El medio especializado International Cyber Digest fue aún más directo: «Google trata ahora la privacidad como un comportamiento sospechoso por defecto». La publicación señala que el nuevo sistema utiliza los servicios Play Integrity de Google y App Attest de Apple, ambos propiedad de las dos grandes corporaciones tecnológicas.

Brendan Eich, CEO y cofundador del navegador Brave, también se pronunció: «La excusa de seguridad de Google es claramente falsa cuando permiten dispositivos sin parches durante diez años. Es para hacer cumplir sus monopolios a través de la licencia GMS».

¿Qué es un dispositivo «desgoogleizado»?

El término se refiere a sistemas operativos como GrapheneOS o CalyxOS, que eliminan los servicios y el software de Google del dispositivo. El objetivo de estos sistemas es evitar la recolección de datos por parte de la compañía y devolver al usuario el control sobre su propio teléfono. Al no contar con Google Play Services, estos dispositivos quedan ahora fuera del nuevo sistema de verificación.

¿A quién afecta realmente? El objetivo inicial: el escritorio

Según el equipo de GrapheneOS, el nuevo sistema de verificación se mostrará principalmente en plataformas de escritorio, como Windows, Linux y macOS. Esto implica que un usuario que navegue desde un ordenador y no disponga de un teléfono certificado por Google o Apple —por ejemplo, un teléfono con GrapheneOS— no podrá completar la verificación.

«Su plan requiere tener un dispositivo Android certificado o un dispositivo iOS para superar esto en un escritorio», afirmó el equipo de GrapheneOS. Los desarrolladores advierten además que el sistema «podría ampliarse» en el futuro, extendiendo su alcance a más plataformas y situaciones.

El equipo fue contundente sobre el poder que Google ejerce a través de esta tecnología: «El control sobre reCAPTCHA pone a Google en una posición en la que puede exigir tener iOS o un dispositivo Android certificado para usar una cantidad enorme de la web».

Antecedentes: Un «fantasma» de 2023 regresa con nueva máscara

No es la primera vez que Google intenta implementar un sistema de control de acceso basado en la integridad del dispositivo. En 2023, la compañía propuso un sistema llamado «Web Environment Integrity (WEI)», que permitiría a Google —y a otros actores— decidir qué dispositivos eran «suficientemente reales» para acceder a la web, similar a un control de hardware.

La reacción de los organismos de estandarización y del público fue tan contundente que Google se vio obligada a abandonar la propuesta. Sin embargo, según International Cyber Digest, «tres años después, la misma idea ha vuelto, solo que escondida detrás de un código QR en lugar de una característica del navegador».

La comunidad de privacidad y seguridad sigue de cerca la evolución de este sistema, mientras crecen las acusaciones de que Google utiliza su posición dominante en el mercado de verificación web para imponer sus propios estándares y excluir a la competencia.