Lo que tu juguete conectado envía, y a quién

Este artículo nos vende menos aparatos conectados, y lo publicamos igual. La razón es sencilla: si os vamos a cobrar por un aparato que se empareja por internet, tenéis derecho a saber antes de instalar nada qué sale de vuestra casa, hacia dónde y con qué historial tiene el sector. Nada de lo que viene a continuación es una hipótesis. Todo está documentado, fechado y con fuente.

Primero: "conectado" son tres cosas distintas

La palabra se usa para tres arquitecturas que tienen riesgos muy diferentes, y las tiendas las mezclan a propósito porque suena todo igual de moderno.

1. Solo Bluetooth. El aparato habla con un móvil que está en la misma habitación, a pocos metros. No hay servidor, no hace falta cuenta y no sale nada de casa salvo que la aplicación lo mande por su cuenta. Es la opción con menos superficie de riesgo, con diferencia.
2. Bluetooth más internet. Es lo que hace posible el control a distancia. Tu móvil manda las órdenes a un servidor del fabricante y ese servidor se las pasa al móvil del otro extremo. Hay cuenta, hay identidad y hay un tercero en medio de todas las sesiones.
3. Con cámara o micrófono. Existen, se venden y son otra categoría de problema, porque lo que puede escaparse ya no son metadatos.

Antes de mirar precio, mira en cuál de las tres está el aparato. Si lo que queréis es usarlo en la misma habitación, comprar el de internet no os aporta nada y os añade todo el riesgo.

Qué viaja, y por qué importa más de lo que parece

La objeción habitual es "que vean cuánto vibra un aparato, ¿y qué?". El problema es que con muy poco se reconstruye mucho.

Una serie de marcas de tiempo con intensidad y patrón de vibración describe cuándo hubo actividad sexual, cuánto duró y con qué frecuencia ocurre. Si además el servicio guarda tu correo, tu nombre de usuario o tu dirección IP, esa serie deja de ser anónima y pasa a estar unida a una persona. Y en un aparato de pareja hay dos cuentas emparejadas, así que también queda registrado con quién.

En términos legales europeos, eso no es un dato cualquiera. Los datos relativos a la vida sexual y a la orientación sexual son categoría especial en el artículo 9 del RGPD, con un régimen de protección reforzado. Una filtración de la base de datos de un fabricante de juguetes no es equivalente a una filtración de una tienda de zapatos, ni en daño ni en consecuencias para el responsable.

El historial del sector, con nombres y fechas

We-Vibe, 2016 y 2017. El caso que sentó el precedente

La aplicación We-Connect, de Standard Innovation, recogía y enviaba a servidores en Canadá la fecha y hora de cada uso, la intensidad de vibración seleccionada y el patrón elegido, y en las cuentas registradas también el correo electrónico. Los usuarios no habían sido informados. La demanda colectiva se cerró en marzo de 2017 con un acuerdo de 3,75 millones de dólares, con hasta 10.000 dólares por persona para quienes habían usado la aplicación y hasta 199 para quienes compraron el aparato sin activarlo, y con el compromiso de destruir los datos recogidos.

Es el caso fundacional y conviene retener el detalle importante: el aparato no estaba roto ni hackeado. Funcionaba como estaba diseñado. El problema era el diseño.

Vibratissimo, febrero de 2018. La base de datos abierta

La consultora SEC Consult publicó, coordinada con el CERT-Bund alemán, un aviso sobre toda la gama Vibratissimo, del fabricante alemán Amor Gummiwaren. Un fichero de configuración accesible desde internet contenía las credenciales de la base de datos en texto plano, y con un phpMyAdmin expuesto eso permitía descargar la base de clientes entera: imágenes explícitas, registros de conversaciones, orientación sexual, correos y contraseñas sin cifrar. Además era posible accionar el aparato de otra persona sin su consentimiento.

Qiui Cellmate, octubre de 2020. Cuando el aparato no se abre

Los investigadores de Pen Test Partners publicaron que la API de este dispositivo, un cinturón de castidad con cierre por Bluetooth, aceptaba peticiones sin ninguna autenticación, y que con un código de amigo de seis dígitos devolvía la ubicación, el teléfono y la contraseña en texto plano del propietario. Un atacante remoto podía impedir que el cierre se abriera, y no había desbloqueo manual. Después hubo ataques reales en los que se exigía el pago de 0,02 bitcoin para liberar a la persona.

Este es el caso que conviene tener presente cuando un aparato mete electrónica entre tu cuerpo y la posibilidad de quitártelo. La pregunta que hay que hacerle a cualquier producto de ese tipo no es cómo de buena es su app, es qué pasa cuando la app falla.

Lovense, 2025. Lo que dice el calendario

En julio de 2025 se hizo público que un fallo en la plataforma de Lovense permitía obtener el correo electrónico de una persona conociendo solo su nombre de usuario, de forma automatizable en menos de un segundo, y que existía además un camino de toma de control de cuentas sin contraseña. El investigador que lo comunicó lo hizo en marzo de 2025, y otra investigadora había reportado un problema equivalente en septiembre de 2023. El arreglo completo llegó el 30 de julio de 2025.

Lo relevante aquí no es el fallo, que le puede pasar a cualquiera. Es el intervalo entre el aviso y el arreglo, porque eso sí describe cómo trata una empresa este tipo de datos.

Por qué pasa una y otra vez

No es mala fe, o no solo. Es estructura. Casi todo el sector son empresas de hardware, a veces bastante buenas haciendo motores silenciosos y silicona médica, que necesitan una aplicación y una nube porque el mercado las pide. El software acaba siendo la parte barata del producto y a menudo la subcontratada, y la seguridad de una API no se nota en la caja ni en la ficha, así que no compite.

Añade que muchos de estos fabricantes están fuera de la Unión Europea. Eso no les exime: el artículo 3.2 del RGPD alcanza a quien ofrece servicios a personas que están en la Unión, estén donde estén sus servidores. Pero saber que la ley te ampara y conseguir que alguien la aplique a diez mil kilómetros son dos cosas distintas.

Las siete preguntas, antes de instalar

1. ¿Necesito internet para lo que voy a hacer? Si vais a estar en la misma habitación, no. Ese es el ahorro de riesgo más grande y es gratis.
2. ¿Funciona el aparato sin cuenta? Muchos vibran perfectamente con sus propios botones. Si funciona sin registrarse, la cuenta es opcional aunque la app insista.
3. ¿Qué permisos pide la aplicación? Para hablar por Bluetooth hace falta Bluetooth, y en Android puede pedir ubicación por cómo funciona el sistema. Cámara, micrófono, contactos, galería y almacenamiento completo no son necesarios para mover un motor.
4. ¿Hay chat, vídeo o audio dentro de la app? Si lo hay, pregúntate dónde se guarda. En el caso Vibratissimo lo que se filtró fueron precisamente imágenes y conversaciones.
5. ¿Con qué correo me registro? No con el de siempre. Una dirección separada, sin tu nombre, corta la unión entre esta actividad y todo lo demás. Y sin foto de perfil.
6. ¿Dónde está la política de privacidad y qué dice de la retención? Si no encuentras cuánto tiempo guardan las sesiones, la respuesta por defecto es indefinidamente.
7. ¿Publican un canal para reportar fallos de seguridad? Es el indicador que mejor separa a una empresa que se lo toma en serio de una que no, y se comprueba en dos minutos.

El otro riesgo: el día que apaguen el servidor

Hay una segunda cara que no es de privacidad sino de propiedad, y es igual de concreta.

Cuando el control a distancia depende del servidor del fabricante, tu aparato funciona mientras esa empresa quiera mantener ese servidor encendido. No es una preocupación teórica: en el mundo del hogar conectado hay precedentes claros, desde el concentrador Revolv que Google apagó en 2016 dejando el aparato inservible hasta el cierre repentino de los servidores de Insteon en abril de 2022. Ningún fabricante de este sector, que sepamos, publica un compromiso de años de servicio.

Por eso en nuestras fichas de producto hay tres líneas que no vas a encontrar en otra tienda: qué aplicación necesita, si funciona sin cuenta, y qué queda del aparato si mañana se apaga el servidor. En un aparato de doscientos euros esa última línea es la diferencia entre una compra y un pisapapeles, y cuando no la tenemos verificada lo decimos en lugar de rellenar el hueco.

Lo que nosotros no podemos prometer

Somos una tienda, no un laboratorio. No auditamos el firmware de lo que vendemos, no inspeccionamos el tráfico de las aplicaciones de terceros y no tenemos forma de garantizar que un fabricante cumple lo que su política de privacidad dice. Cualquier tienda que os diga lo contrario os está vendiendo una tranquilidad que no puede respaldar.

Lo que sí hacemos: publicar la arquitectura real de cada aparato, dejar el hueco visible cuando un dato no está verificado, y escribir esto aunque nos deje vender menos aparatos conectados. Si después de leerlo decidís que para lo vuestro basta con Bluetooth, o con algo sin electrónica, habremos hecho bien nuestro trabajo aunque hayamos facturado menos.

Si algo ya ha pasado

Si un fabricante sufre una brecha con tus datos, el RGPD le obliga a notificarla a la autoridad de control en 72 horas (artículo 33) y a comunicártela directamente a ti cuando el riesgo para tus derechos sea alto (artículo 34), que en datos de vida sexual lo es por definición. Puedes pedir acceso a todo lo que tienen sobre ti (artículo 15) y su supresión (artículo 17), y si no responden en un mes puedes reclamar ante la Agencia Española de Protección de Datos, que es gratuito.