Cada vez que abres LinkedIn en un navegador basado en Chrome, un JavaScript oculto escanea silenciosamente tu computadora en busca de software instalado sin tu conocimiento, sin tu consentimiento y sin una sola mención en la política de privacidad de LinkedIn. Una investigación reveladora realizada por el grupo europeo de defensa Fairlinked e.V., bajo el nombre de campaña "BrowserGate"

Cada vez que abres LinkedIn en un navegador basado en Chrome, un JavaScript oculto escanea silenciosamente tu ordenador en busca de software instalado sin tu conocimiento, sin tu consentimiento y sin una sola mención en la política de privacidad de LinkedIn.

Una investigación reveladora realizada por el grupo europeo de defensa Fairlinked e.V., bajo el nombre de campaña “BrowserGate”, ha descubierto lo que los investigadores describen como uno de los mayores escándalos de espionaje corporativo y filtración de datos en la historia digital.

Microsoft’s LinkedIn, la mayor plataforma de networking profesional del mundo con más de mil millones de usuarios, ejecuta código encubierto que sondea los navegadores de los visitantes en busca de miles de extensiones instaladas, compila los resultados, los cifra y transmite todo a los servidores de LinkedIn y a empresas de terceros.

Qué hace realmente el código oculto

El mecanismo es técnicamente preciso y deliberadamente invisible. Cada vez que un usuario carga una página de LinkedIn, un script de fingerprinting se ejecuta en silencio, sondeando identificadores conocidos de extensiones del navegador al intentar acceder a archivos que las extensiones pueden exponer opcionalmente a los sitios web. Si un archivo se carga, se confirma la presencia de la extensión. Si no, no está instalada. Todo el escaneo tarda milisegundos y el usuario no ve absolutamente nada.

El paquete de JavaScript de LinkedIn contiene identificadores para más de 6.167 extensiones de navegador. El escaneo se activa exclusivamente en navegadores basados en Chromium como Chrome, Edge, Brave, Opera y Arc —mediante una comprobación de función integrada isUserAgentChrome(). Los usuarios de Firefox y Safari no se ven afectados actualmente.

Lo que hace que esta vigilancia sea especialmente peligrosa es el contexto: las cuentas de LinkedIn están vinculadas a nombres reales, empleadores y puestos de trabajo. Cada extensión detectada se asocia al instante con una persona identificada.

Como LinkedIn también sabe dónde trabaja cada usuario, estos escaneos individuales se agregan en perfiles detallados de inteligencia corporativa que revelan qué herramientas de software utilizan organizaciones enteras, sin su conocimiento ni consentimiento.

Los datos sensibles que se están recolectando

El alcance de lo que LinkedIn puede inferir a partir de las extensiones escaneadas va mucho más allá de las preferencias de software. Los investigadores de BrowserGate identificaron las siguientes categorías de alto riesgo entre las 6.222 extensiones rastreadas:

• 509 herramientas de búsqueda de empleo —incluyendo extensiones para Indeed, Glassdoor y Monster— que exponen a usuarios que buscan trabajo en secreto en la misma plataforma donde su empleador actual puede ver su perfil.
• Indicadores de creencias religiosas —extensiones que identifican a musulmanes practicantes y otras comunidades de fe.
• Marcadores de orientación política —selectores de fuentes de noticias y herramientas de verificación de hechos partidistas que revelan las inclinaciones políticas de los usuarios.
• Herramientas para discapacitados y neurodivergentes —aplicaciones de gestión de TDAH, extensiones de apoyo para el autismo y lectores de pantalla.
• Más de 200 productos de la competencia directa —como Apollo, Lusha, ZoomInfo y Hunter.io, que LinkedIn utiliza para mapear qué empresas usan plataformas rivales de inteligencia de ventas.

Según el Reglamento General de Protección de Datos (GDPR) de la UE, los datos que revelan creencias religiosas, opiniones políticas y condiciones de salud se clasifican como Datos de Categoría Especial, no solo regulados, sino prohibidos de procesar sin consentimiento explícito. LinkedIn no tiene consentimiento, ni divulgación, ni base legal para recopilarlos.

La vigilancia va más allá de los propios servidores de LinkedIn. Los investigadores de BrowserGate identificaron un elemento de seguimiento invisible cargado desde HUMAN Security (antes PerimeterX), una empresa de ciberseguridad estadounidense-israelí: un elemento de un píxel de ancho oculto fuera de pantalla que establece cookies sin el conocimiento del usuario.

Un script de fingerprinting independiente se ejecuta desde los servidores de LinkedIn, y un tercer script de Google se activa en silencio en cada carga de página. Todo está cifrado. Nada se divulga.

La tecnología de HUMAN Security está integrada en cientos de sitios web importantes, supuestamente para distinguir usuarios reales de bots, pero BrowserGate sostiene que los datos fluyen hacia servidores de terceros, construyendo perfiles detallados de dispositivos de cada visitante.

La investigación de BrowserGate alega además que LinkedIn está aprovechando esta capacidad de escaneo encubierto para aplicar medidas competitivas. LinkedIn ya ha enviado amenazas legales a usuarios de herramientas de terceros, utilizando datos obtenidos a través de este escaneo oculto para identificarlos y atacarlos.

Al mismo tiempo, LinkedIn ha ampliado drásticamente la escala de su vigilancia. La lista de escaneo creció de aproximadamente 461 productos en 2024 a más de 6.000 en febrero de 2026 —un aumento del 1.252%— apuntando precisamente a las herramientas que el DMA (Ley de Mercados Digitales) estaba diseñado para proteger.

La empresa también alegó que la campaña BrowserGate fue impulsada por alguien cuya cuenta había sido bloqueada por violar los Términos de Servicio de LinkedIn.

Sin embargo, investigadores independientes señalan que esta práctica se remonta al menos a 2017, cuando LinkedIn escaneaba solo 38 extensiones. Para febrero de 2026, esa cifra había crecido a casi 3.000, y desde entonces se ha más que duplicado.

Fairlinked e.V. afirma que la práctica es ilegal y potencialmente delictiva en todas las jurisdicciones que ha examinado. La combinación de recolección no revelada de datos de categoría especial, transmisión encubierta a terceros y presunto engaño regulatorio representa un grave riesgo bajo el GDPR, la Directiva ePrivacy y el DMA.

La base de usuarios combinada de las extensiones escaneadas asciende a 405 millones de personas, lo que convierte a BrowserGate en una de las mayores operaciones de recolección de datos no reveladas en la historia de internet comercial.

Los reguladores de toda la UE han sido notificados. Se están organizando acciones legales. Por ahora, cada usuario de LinkedIn en un navegador Chromium sigue siendo objeto de este escaneo silencioso y diario.

Cómo protegerte

Los usuarios preocupados por el escaneo tienen varias opciones inmediatas:

• Cambia a Firefox o Safari para acceder a LinkedIn —el método de detección depende de la arquitectura de extensiones de Chrome, que el diseño de Firefox impide.
• Crea un perfil de Chrome exclusivo para LinkedIn sin extensiones instaladas, rompiendo la cadena de vigilancia.
• Usa el navegador Brave con la protección contra fingerprinting activada, que bloquea el mecanismo de detección.
• Revisa tus extensiones instaladas usando la base de datos pública y buscable de BrowserGate para comprobar si tus herramientas están siendo rastreadas.