Los Cuevas: los mellizos españoles que investigan los fallos en Facebook y Google

Nacieron el mismo día. Fueron juntos al colegio. Se apuntaron a fútbol. Les encantó (y eran buenos, además). Y cuando se hicieron mayores y llegó el momento de elegir carrera, se decantaron por ingeniería de telecomunicaciones. “Sacábamos buenas notas y nos gustaba el mundo de los ordenadores, así que decidimos hacer teleco”, recuerda Ángel Cuevas.

Un momento... ¿Decidimos?

“Sí, dábamos por hecho de que fuera lo que fuera, lo íbamos a hacer juntos”, aclara con toda naturalidad.

Los mellizos Ángel y Rubén Cuevas, doctores en ingeniería e investigadores en la Universidad Carlos III (Madrid) comparten en esta etapa adulta una pasión (otra más): encontrar los fallos en internet que comprometen nuestra seguridad y privacidad.

“No nos consideramos activistas. No pensamos que Google o Facebook sean el demonio”, aclara Rubén, “Pero creemos que tienen un problema importante en aspectos relacionados con la privacidad y el uso que hacen de los datos de las personas. Nos gustaría que eso cambiara”.

Hasta el año 2006 no se habían separado nunca más de cinco días. El doctorado les llevó a cada uno a un país diferente pero fue “perfecto”. “Uno estaba en Francia y el otro en Estados Unidos. Como la diferencia horaria era tan grande cuando yo me acostaba mi hermano continuaba el trabajo. Eran casi 24 horas sin parar”, comenta Ángel. En 2007 publicaron su primer estudio y desde entonces no han parado.

Su trabajo no es fácil. Aseguran que en su campo existen muchas barreras. “Es habitual encontrar reticencias en la comunidad científica para publicar este tipo de investigaciones porque las grandes tecnológicas financian muchos estudios”, asegura Rubén.

Los hermanos están acostumbrados a que les digan cosas como: “no podéis publicar eso, os van a denunciar”. Y fue precisamente un comentario de ese estilo el que motivó a Rubén a colgar en internet una investigación sobre un fraude de Google con los anunciantes en vídeos de YouTube (propiedad de Google desde 2006). “Me sentó tan mal que pensé: a ver si es verdad que me denuncian. Lo publiqué y entonces el artículo tuvo mucho más impacto”, recuerda Rubén. Ese fallo detectado por uno de los Cuevas fue portada del diario Financial Times en 2015. "Google cobra a los vendedores por los anuncios en YouTube, incluso cuando los ven los robots", titulaba el periódico financiero.

¿Qué es lo que encontraron en realidad? En internet los anunciantes pagan por cada vídeo visto. Pero, ¿qué pasa si en lugar de una persona es un robot programado el que está constantemente dándole al botón de play? Desde una sala de la Universidad Carlos III atacaron vídeos en Youtube. La empresa (Google) les detectó y no contabilizó estas visitas... públicamente. Porque había otro contador interno que sí lo hacía y cobraba luego a los anunciantes, aún sabiendo que parte de las visitas eran fraudulentas.

“Durante mucho tiempo pensamos que el error era nuestro. No nos lo creíamos. Pasaron los meses y queríamos tener una prueba irrefutable. Así que nos hicimos pasar por un anunciante y volvimos a atacar con nuestros robots. Google nos cobró todas las visitas. Entonces dijimos: vale, ya nos lo creemos”, recuerda Rubén.

La empresa estadounidense contactó con ellos, no para solucionar el problema, sino para que no hicieran público el código para atacar los vídeos. Los mellizos no saben si el fraude persiste hoy en día. “Nos encantaría saberlo pero no hemos podido repetir el estudio por falta de recursos y tiempo”, lamenta Ángel.

Comparten despacho en la planta baja de la facultad, una habitación sin ventana con dos mesas y una pizarra enmedio. “Fuimos nosotros los que pedimos estar juntos. Es mucho más operativo”, explica Ángel. “Nos compaginamos muy bien y la compenetración es bastante intensa. Es perfecta. A veces hay discusiones y los estudiantes nos dicen: ¿por qué os peleáis?”. Son dinámicas de mellizos. “Ser hermanos lo facilita todo mucho porque le puedo decir cosas que a otro colega nunca podría decirle al mismo nivel de sinceridad”, añade Rubén. “A las dos horas ya estamos normales”. “O a las seis...”, replica su hermano.

Ahora están empeñados en demostrar, junto al investigador David García, que es posible encontrar una aguja un pajar. Tal cual. “Queremos entender cómo de fácil es que se nos identifique en el mundo digital. Toda esa información que vamos dejando cuando navegamos, en qué equipo juega nuestro hijo, de qué pueblo es nuestra mujer, dónde veraneas, qué webs visitas... le puede permitir a alguien llegar hasta nosotros”, expone Ángel.

La idea les viene de otro artículo que demostró que solo conociendo la hora y el lugar de cuatro movimientos de una tarjeta de crédito es posible identificar al dueño entre millones de usuarios. “Esa información solo la tiene tu banco, pero en internet nuestros datos los recogen empresas que ni siquiera sabemos quiénes son. Lo que hemos visto es que con diez cosas que sepan sobre ti es suficiente para saber quién eres e identificarte entre más de 2.000 millones de usuarios de Facebook. ¿Qué implicaciones tiene esto? Que alguien interesado en que a una persona con influencia le llegue un determinado mensaje es capaz de llegar hasta él”.

“Si luego ese mensaje que se manda es capaz de cambiar decisiones futuras es algo que se nos escapa. Pero es factible enviarlo y que llegue al destinatario elegido”, apunta Rubén.

Este año la Agencia Española de Protección de Datos les concedió el premio a la mejor investigación por su trabajo sobre el uso que hace Facebook de información ‘sensible’. La red social etiqueta a todos sus usuarios según sus gustos. Entre esos datos figuran también cuestiones como si creemos que tenemos cáncer, nuestra orientación política o sexual, nuestras creencias religiosas... y cualquier anunciante puede tener acceso a esas etiquetas. Estos investigadores siguen sin entenderlo. “En Arabia Saudí ser homosexual está penado con la muerte. No entendemos como Facebook no corrige esto. Nos encantaría saberlo pero nunca nos han respondido ni contactado con nosotros”.

La red social ya ha sido multada por procesar información sensible, pero las etiquetas siguen generándose. ¿Cómo podían estudiar la situación si los datos son individuales y evidentemente Facebook no los iba a compartir con ellos? Los Cuevas diseñaron una aplicación gratuita que permite saber cuánto dinero está ganando la red social contigo. Además, se puede acceder a las etiquetas que se te van asignando. Rubén lo explica así: “con un simple click puedes borrar todo lo que quieras. En teoría, Facebook también te lo permite, pero es complicado saber llegar a ese lugar." A cambio de este servicio los hermanos piden permiso para poder ver las etiquetas que va generando Facebook. Cerca de 1.000 usuarios activos al mes les van nutriendo de información para que sigan con su estudio.

Son conscientes de que como investigadores de una universidad “pequeñita” es muy complicado forzar los cambios en el sistema que a ellos les gustaría para mejorar la transparencia y el nivel de confianza. “Quizá el impacto sería más fácil conseguirlo desde dentro de una empresa si existiera esa voluntad de cambiar...” Son muchos los que les preguntan qué les dirán a Google o Facebook cuando vengan a ficharles. “No nos ha llegado nunca nada”, asegura Rubén. Ángel añade: “ni creemos que nos llegue. De hecho nos ha llegado lo contrario: que esas empresas no están muy contentos con nosotros”.

(Risas).

Ahora son padres de familia y uno de ellos es fue a vivir un poco más lejos del otro por “amor”. Nada, les separan 33 kilómetros de distancia. Se ven todos los días, hablan por teléfono a las doce de la noche si se les ha ocurrido algo... y luego están también las comidas con los padres. “Nos apasiona lo que hacemos y a veces en las reuniones familiares nos ponemos hablar de nuestras cosas. Y claro, nos dicen que somos unos pesados”.