Un grupo de inversores de capital de riesgo ya ha empezado a cambiar su nombre en Zoom para incluir un mensaje claro: “No consiento ser transcrito ni grabado”. El gesto, que parece una anécdota del mundo de las startups, es en realidad el síntoma más visible de un problema que los investigadores vienen documentando desde hace años: las videollamadas ya no son solo conversaciones, sino fuentes de datos que terceros están aprovechando sin que los usuarios lo sepan del todo.
Dos estudios académicos recientes, complementados con hallazgos de seguridad, revelan que el Zoom Marketplace —el ecosistema de aplicaciones de terceros que extienden las funciones de la plataforma— es un territorio donde las promesas de privacidad chocan con la realidad. Un equipo de la Universidad Estatal de Arizona analizó durante un año la evolución de más de 2.700 apps del Marketplace, y los resultados son preocupantes.
El 99,7% de las apps no dice todo lo que hace con tus datos
El estudio, titulado “A First Look at Privacy Compliance of Zoom Apps”, encontró que, aunque el 87% de las aplicaciones tienen una política de privacidad accesible, apenas el 14% de esas políticas presenta contradicciones lógicas que reducen su claridad. Pero el hallazgo más alarmante es otro: el 99,7% de estas políticas no revela todas las prácticas de datos que realmente lleva a cabo la aplicación en cuestión.
Para ponerlo en contexto: si una app solicita acceso a los contactos de la reunión, al historial de chats o a las grabaciones en la nube, pero en su política de privacidad solo menciona “mejorar la experiencia del usuario”, está incumpliendo los estándares mínimos de transparencia. Zoom exige a los desarrolladores que usen permisos granulares y minimicen la recolección de datos, pero la práctica real demuestra que la supervisión es insuficiente.
En otro estudio complementario, los mismos investigadores documentaron que muchas apps solicitan más permisos de los necesarios para su funcionamiento. Por ejemplo, una aplicación educativa que solo debería acceder al chat de la reunión pide también acceso a los archivos del calendario y a la lista de participantes, ampliando innecesariamente su superficie de ataque.
Además, se descubrió que algunas apps pueden ejecutarse dentro de la aplicación Zoom sin una autenticación válida. Esto abre la puerta a que un atacante modifique el código de una app ya aprobada y explote los permisos OAuth concedidos para acceder a información de contacto, datos de reuniones o detalles de la cuenta del usuario, más allá de lo que la política de privacidad original declaraba.
El audio también traiciona: cómo detectar tu ubicación sin que lo notes
Un tercer estudio, presentado en la conferencia IEEE Symposium on Security and Privacy, lleva la preocupación un paso más allá. Investigadores de la Universidad Estatal de Luisiana demostraron que cualquier participante de una videollamada puede rastrear activamente la ubicación física de otros usuarios, incluso si estos tienen la cámara apagada o usan fondos virtuales.
El truco no requiere trucos de espionaje sofisticados. Se basa en el canal de audio bidireccional legítimo de la videollamada. El atacante envía un sonido cuidadosamente diseñado y analiza cómo rebota en el entorno físico del objetivo. Aunque los sistemas de cancelación de eco de Zoom deberían impedir esta técnica, los investigadores desarrollaron un algoritmo basado en transformers —un tipo de inteligencia artificial generativa— que es capaz de extraer información estable de la ubicación a partir de los ecos distorsionados.
Las implicaciones para la privacidad de los equipos remotos son enormes: un empleado que trabaja desde su casa, un ejecutivo en una sala de juntas o un abogado en una consulta confidencial podrían estar revelando su ubicación sin saberlo, solo por participar en una videollamada.
Una vulnerabilidad crítica pone en riesgo cuentas corporativas
A este panorama se suma un hallazgo de seguridad informado por The Hacker News. Zoom acaba de lanzar parches para una vulnerabilidad crítica (CVE-2026-53412, con puntuación CVSS de 9.8) que afecta a Zoom Workplace para Windows. El fallo permite que un atacante no autenticado tome el control de la cuenta de un usuario simplemente con acceso a la red. Las versiones afectadas incluyen las anteriores a la 7.0.0 para el cliente de escritorio y las versiones 6.5.18, 6.6.15 y 7.0.10 para el cliente VDI.
Además, se corrigieron otras tres vulnerabilidades de alta severidad que permiten escalada de privilegios en sistemas Windows. Aunque hasta el momento no hay evidencia de explotación activa, la combinación de estos fallos con la falta de transparencia de las aplicaciones de terceros crea un escenario donde la seguridad de las organizaciones latinoamericanas —donde Zoom es una herramienta cotidiana en empresas, escuelas y gobiernos— queda expuesta.
¿Qué significa esto para las empresas en América Latina?
En la región, donde la regulación de privacidad todavía está en desarrollo y la dependencia tecnológica es alta, el mensaje es claro: la confianza en las herramientas de videoconferencia no puede darse por sentada. Las empresas que utilizan Zoom deben preguntarse qué aplicaciones de terceros tienen habilitadas en sus cuentas corporativas, si han revisado sus permisos y si las políticas de privacidad de esas apps son realmente completas.
La práctica de algunos ejecutivos de cambiarse el nombre en Zoom para declarar que no consienten la grabación es más que una anécdota: es una advertencia de que la cultura de “grabar todo” —alimentada por aplicaciones de toma de notas con IA como Granola, Plaud o SpeakON— está normalizando un comportamiento que muchos consideran socialmente inaceptable.
Al final, la pregunta que queda flotando no es técnica, sino cultural: si cada conversación laboral, cada clase universitaria y hasta cada primera cita puede ser transcrita, resumida y analizada por una inteligencia artificial, ¿dónde queda el espacio para la espontaneidad, el error y la confianza? Para las empresas que están adoptando estas herramientas, la respuesta no está solo en los parches de seguridad, sino en una decisión consciente sobre qué tipo de entorno digital quieren construir.
