Una investigación de IMDEA Networks recibe el USENIX Internet Defense Prize 2026 y el Distinguished Paper Award

El artículo “Bridges to Self: Silent Web-to-App Tracking on Mobile via Localhost” ha sido reconocido por su contribución científica y su impacto práctico en el fortalecimiento de la seguridad en Internet tras su divulgación responsable

31 Agosto 2026

Una colaboración internacional de investigación codirigida por IMDEA Networks ha recibido el USENIX Internet Defense Prize 2026 y el USENIX Security Distinguished Paper Award 2026 por su artículo “Bridges to Self: Silent Web-to-App Tracking on Mobile via Localhost”. Los premios fueron entregados durante la 34.ª edición del USENIX Security Symposium, una de las principales conferencias internacionales de investigación en ciberseguridad, en reconocimiento tanto a la contribución científica del trabajo como a su impacto práctico en la seguridad en Internet.

La publicación galardonada descubrió una técnica de seguimiento web-a-app hasta entonces desconocida que aprovechaba las conexiones localhost para vincular de forma silenciosa la actividad de navegación de usuarios/as con identidades persistentes en aplicaciones nativas de Android, sin su conocimiento ni consentimiento. Esta técnica permitía eludir las protecciones de privacidad y las medidas de aislamiento entre procesos existentes, haciendo posible que canales de comunicación locales no sometidos a controles conectaran los navegadores con las aplicaciones nativas instaladas en un mismo dispositivo y permitieran el seguimiento entre plataformas.

Tras la divulgación responsable de los resultados por parte de los investigadores, los principales navegadores de Android y el propio sistema operativo Android introdujeron medidas de mitigación para evitar este tipo de abuso. Los resultados también dieron lugar a un debate más amplio entre organismos de normalización web, autoridades de protección de datos y responsables políticos de Europa y Estados Unidos, así como a acciones legales en forma de demandas colectivas en Estados Unidos, Canadá y Alemania. El equipo también presentó sus conclusiones ante el Congreso de los Diputados de España, mientras que varios miembros del Congreso de Estados Unidos enviaron una carta abierta a Mark Zuckerberg en la que solicitaban información sobre el descubrimiento.

A principios de este año, el artículo recibió el 2026 CNIL–Inria Privacy Award, en reconocimiento a su contribución al avance de la protección de la privacidad y a su impacto social. Este galardón pone de relieve el valor de la investigación colaborativa que combina la excelencia científica con la divulgación responsable y una estrecha colaboración con los desarrolladores de navegadores, los organismos de normalización y los reguladores para traducir los resultados de la investigación en mejoras tangibles para las personas usuarias.

“Recibir el USENIX Internet Defense Prize, junto con el USENIX Distinguished Paper Award, supone un reconocimiento extraordinario tanto a la excelencia científica de esta publicación como a su impacto en el mundo real. Recibir este premio en el USENIX Security, una de las conferencias de ciberseguridad más prestigiosas del mundo, tiene un significado especial. Refleja el tipo de trabajo científico ambicioso y fundamental que buscamos desarrollar en IMDEA Networks: una investigación que nos permite abordar de forma independiente cuestiones complejas con importantes implicaciones sociales y, en última instancia, transformar los resultados de la investigación en conocimiento que contribuya a proteger a las personas usuarias y a construir una sociedad digital más segura y fiable”, afirma Narseo Vallina, Research Associate Professor de IMDEA Networks y coautor del artículo.

El USENIX Internet Defense Prize incluye un premio en metálico de 25.000 dólares estadounidenses, que se repartirá entre las tres instituciones participantes —IMDEA Networks, Radboud University y KU Leuven— para apoyar nuevas investigaciones basadas en los resultados del proyecto.

“La principal lección es que las amenazas a la privacidad suelen esconderse en supuestos que hemos dejado de cuestionar. Localhost se consideraba seguro casi por definición porque está confinado al propio dispositivo del usuario. Sin embargo, incluso cuando los navegadores, las aplicaciones y los sistemas operativos aplican medidas de protección sólidas de forma individual, pueden surgir brechas en la forma en que interactúan entre sí. La comunidad de seguridad debe seguir cuestionando estos límites y comprobando si los supuestos establecidos desde hace tiempo siguen siendo válidos”, concluye Aniketh Girish, investigador posdoctoral de IMDEA Networks y coautor del trabajo.