Geolocalizar una dirección MAC necesita el mecanismo, no el identificador

El artículo de Ciberpatrulla «Geolocalizar una dirección MAC: cuándo se puede y cómo» abre con una respuesta de Google AI que dice que no se puede geolocalizar una dirección MAC, y luego explica por qué esa respuesta está mal de una forma concreta e instructiva (Ciberpatrulla, «Geolocalizar una dirección MAC: cuándo se puede y cómo», 11 ago. 2026, https://ciberpatrulla.com/geolocalizar-direccion-mac/). La respuesta de IA confunde dos claims distintos. Uno: la MAC no contiene coordenadas. Eso es cierto. Dos: no se puede averiguar dónde está. Eso es falso, porque bases de datos públicas llevan más de veinte años asociando identificadores WiFi con observaciones georreferenciadas. La propiedad (geolocalizabilidad) no viene del identificador; viene del mecanismo — una base de datos de wardriving más una fusión de centroide ponderado por señal. Theorem 3: una propiedad se garantiza exactamente cuando su mecanismo está implementado y midiendo. La MAC es la clave; la base de datos y la fusión son el mecanismo.

Conclusiones clave

• Una dirección MAC no contiene coordenadas GPS (cierto), pero un punto de acceso WiFi observado por colaboradores de wardriving se puede geolocalizar vía bases públicas como WiGLE, que funciona desde 2001 y asocia identificadores BSSID con observaciones georreferenciadas (Ciberpatrulla, 11 ago. 2026).
• La propiedad viene del mecanismo, no del identificador. El BSSID es la clave de búsqueda; la base de wardriving más la fusión de centroide ponderado por señal son el mecanismo que deriva la ubicación. Sin el mecanismo, el identificador solo da el fabricante.
• Las coordenadas que devuelve WiGLE son una estimación, no una medición. La propia documentación de WiGLE describe el cálculo como trilateración por centroide ponderado — observaciones promediadas con la intensidad de señal como peso. Tratar el resultado como una dirección postal es el error más común y más caro.
• La frontera de scope es explícita: el artículo cita la Ley 5/2014 de España, que exige que la investigación sea necesaria, idónea y proporcionada, y excluye la vida íntima que ocurre puertas adentro del domicilio. Everythink mantiene el mismo scope civil-e-defensivo.

El identificador no contiene la propiedad; el mecanismo la deriva

El artículo de Ciberpatrulla traza la línea que la respuesta de Google AI difumina. Una dirección MAC es un identificador de interfaz de red — la matrícula que un aparato usa para hablar dentro de una red local. No lleva coordenadas. Los primeros tres octetos de una MAC asignada de fábrica apuntan al fabricante (el IEEE asigna esos bloques), y «mira el fabricante» es el consejo donde la respuesta de IA se detiene. Pero el fabricante no es la ubicación, y el artículo es honesto sobre por qué «mira el fabricante» es una respuesta parcial: el IEEE ahora reparte bloques grandes, medianos y pequeños, y las MAC aleatorizadas no llevan información de fabricante. «Mira el fabricante» es un mecanismo que a veces devuelve una señal débil y a veces nada — Partial ⚠️ como mecanismo de geolocalización.

El mecanismo de geolocalización es distinto y el artículo lo nombra: WiGLE, el Wireless Geographic Logging Engine, funcionando desde 2001, recoge observaciones de wardriving — voluntarios caminando o conduciendo con escaneo WiFi y GPS activo, registrando cada punto de acceso que detectan con las coordenadas donde lo detectaron. Un punto de acceso observado por cualquier colaborador está en la base, y una búsqueda por BSSID devuelve las coordenadas estimadas, el nombre de red, y las fechas de primera y última observación. El mecanismo es: una caché colaborativa de observaciones georreferenciadas, indexada por BSSID, fusionada por un centroide ponderado por señal. El identificador es la clave; el mecanismo es la caché más la fusión. Etiquetamos el mecanismo de WiGLE Production ✅ como un sistema real, en marcha, documentado. Etiquetamos la geolocalización de un BSSID concreto Partial ⚠️ — la propiedad se sostiene para ese BSSID solo si el mecanismo lo ha observado, y una red no observada no devuelve nada.

[UNIQUE INSIGHT] El movimiento más fuerte del artículo es la distinción entre un BSSID de punto de acceso fijo y una MAC de cliente aleatorizada. Un punto de acceso fijo lleva años emitiendo beacon frames desde el mismo sitio — el mismo identificador, las mismas coordenadas, observado por múltiples pases de wardriving. Una MAC de cliente (un móvil, un portátil) viaja con su dueño y los sistemas operativos modernos la aleatorizan para dificultar el seguimiento. El artículo es explícito: no trates una MAC de cliente como un identificador estable y geolocalizable. Es la misma distinción que un contrato estable vs. uno volátil — la propiedad (geolocalizabilidad) se sostiene cuando el identificador es estable (BSSID fijo), no cuando es volátil (MAC de cliente aleatorizada).

El centroide ponderado es la misma fusión que el ensemble del Oracle

El cálculo de coordenadas de WiGLE está documentado en su propio FAQ, y el artículo de Ciberpatrulla lo cita: WiGLE promedia las coordenadas de todas las observaciones de una red usando la intensidad de señal como peso, así que una observación con señal fuerte cuenta más que una con señal débil. WiGLE mismo lo llama trilateración por centroide ponderado. Eso es un mecanismo de fusión — múltiples observaciones combinadas en una sola estimación, ponderadas por una señal de calidad. Es la misma forma que la fusión del ensemble del Oracle en el HAI Engine.

[PERSONAL EXPERIENCE] Cada Sister en el HAI Engine es una personalidad tipada (analyst, contrarian, disruptor, historian, institutionalist) que produce un draft de forecast. El forecast de una sola Sister es una observación única — una señal débil, como un solo pase de wardriving que oyó la red tenuemente desde una calle. El Oracle fusiona las Sisters en un ensemble calibrado, y la fusión pondera las Sisters por calidad de calibración — una Sister bien calibrada cuenta más que una mal calibrada, igual que una observación de señal fuerte cuenta más que una de señal débil en WiGLE. La fusión del Oracle es un centroide ponderado de forecasts; la de WiGLE es un centroide ponderado de coordenadas. La forma se comparte; los dominios son separados; el claim cross-domain es Partial ⚠️. Lo que es Production ✅ del lado de Everythink es el mecanismo de fusión del Oracle — implementado y midiendo, con entropía calculada en cada fusión.

El problema de sesgo es el mismo en ambos. El FAQ de WiGLE advierte que la estimación se sostiene razonablemente salvo que la red se haya observado siempre desde el mismo lado — si el colaborador de wardriving caminó una sola calle y nunca dio la vuelta a la manzana, el punto se desvía hacia esa calle. El Oracle tiene el mismo modo de fallo: si todas las Sisters comparten el mismo framing, la fusión produce una estimación confiada sesgada por el framing compartido, y la entropía es baja. Entropía baja es el «todas las observaciones desde la misma calle» del Oracle — un ensemble concentrado no añade diversificación. Etiquetamos la medición de entropía del Oracle Production ✅ porque corre en cada fusión y marcaría un ensemble de baja entropía como señal débil. WiGLE no expone una métrica de entropía equivalente — el usuario tiene que inferir el sesgo del conteo de observaciones y las fechas. Eso es Partial ⚠️ del lado de WiGLE: la fusión está implementada, pero la medición de detección de sesgo se deja al analista.

Tres vecinos, una ventana — coherencia vs. independencia

El artículo de Ciberpatrulla hace un punto fácil de perder y que importa más allá del OSINT: varios BSSID agrupados en la misma zona no estrechan matemáticamente el error, pero refuerzan la coherencia espacial de la hipótesis — con un matiz. Refuerzan más cuando está claro que pertenecen a puntos de acceso distintos. Si son varios BSSID del mismo aparato, estás mirando el mismo dato tres veces.

Esa es la distinción de independencia. Tres vecinos que señalan la misma manzana son tres observaciones independientes solo si miraron desde tres ventanas distintas. Si los tres miraron desde la misma ventana, vieron lo mismo desde el mismo sitio — eso es una observación contada tres veces, no tres. La imagen del artículo es exacta: es más como preguntar por un barrio. Si tres vecinos no relacionados, sin haber hablado entre ellos, señalan la misma manzana, tienes más razones para ir a mirar ahí que si te lo dijo uno solo. Pero si todos se asomaron a la misma ventana, no son tres opiniones — son una.

La entropía del Oracle mide exactamente esto. Una fusión de alta entropía es tres vecinos desde tres ventanas — las Sisters llevan evidencia no correlacionada, y la fusión reduce la varianza. Una fusión de baja entropía es tres vecinos desde una ventana — las Sisters dicen lo mismo, y la fusión no añade diversificación. La regla del artículo («un investigador con criterio no busca la red que le interesa; busca el vecindario que la rodea») es la misma regla que sigue el Oracle: no confíes en la Sister única, confía en la coherencia del ensemble, y mide la entropía para saber si la coherencia vino de evidencia independiente o de un framing compartido.

Los límites honestos: estimación, no medición

El artículo de Ciberpatrulla es honesto sobre lo que WiGLE no te da, y la honestidad es la parte que soporta todo. WiGLE no identifica a nadie — devuelve la posición estimada de un aparato, no un nombre, no un titular de línea, no un domicilio. El salto de «hay un router aquí» a «esta persona vive aquí» no lo da la herramienta; lo da el investigador cruzando con otras fuentes, y es un salto que hay que justificar. WiGLE no garantiza nada — el acuerdo de licencia excluye expresamente cualquier garantía sobre los datos. La cobertura de WiGLE es desigual — depende de dónde alguien caminó con la app abierta. Los centros urbanos están bien cubiertos; un polígono industrial o un pueblo pequeño pueden estar vacíos. Que una red no aparezca no significa que no exista; significa que nadie la vio.

El artículo etiqueta la restricción de licencia por separado y merece la atención: el acuerdo de WiGLE se llama literalmente Individual, Non-Commercial Data License Agreement. Concede uso para fines personales, de investigación o educativos, no comerciales. Si los resultados van a acabar dentro de un servicio profesional remunerado, la licencia individual no lo cubre — WiGLE ofrece licencias comerciales negociadas por email. La lectura del artículo: no es una prohibición del uso profesional, es una condición para él. La disciplina del Honest Architect es la misma — cita la fuente real, respeta la licencia, y si el caso de uso cambia la obligación de licencia, obtén la licencia correcta antes de entregar el informe.

La distinción estimación-vs-medición es la que separa un informe serio de una chapuza. WiGLE no midió físicamente dónde está el router. Las coordenadas son una estimación calculada a partir de observaciones recogidas, y la estimación puede estar sesgada. Escribir «el investigado estaba en Alicante» se cae en contrainterrogatorio. Escribir «tres redes inalámbricas observadas por el equipo corporativo figuran en una base de datos pública de acceso abierto, con última observación en marzo de 2025, y su localización estimada converge en la localidad de Y» es otra cosa. Eso no se cae; hay que discutirlo, y la discusión ocurre en el terreno donde tú tienes el método documentado y ellos no. Etiquetamos esa disciplina Production ✅ — es el movimiento del Honest Architect, y es el mismo que Everythink hace cuando etiqueta un forecast Partial ⚠️ en lugar de asertar una certeza que el mecanismo no soporta.

La frontera de scope: civil-e-defensivo, no vigilancia doméstica

El caso práctico del artículo es un teletrabajador que decía estar en Madrid y conectaba desde una ciudad costera a 600 km. La disciplina de scope es explícita y coincide con la de Everythink. Antes de tocar un solo dato, el cliente tiene que documentar su interés legítimo — la Ley 5/2014 lo exige antes de aceptar el encargo. El objeto del contrato se delimita con precisión: verificar el lugar habitual de prestación del servicio. Ni la vida privada del empleado, ni con quién vive, ni qué hace los fines de semana. El artículo 48.3 excluye la vida íntima del domicilio de la investigación privada, y el 48.6 exige que la actuación sea proporcionada, idónea y necesaria. El segundo adjetivo — necesaria, había una forma menos invasiva — es el que se lleva por delante más informes.

Everythink mantiene el mismo scope. La plataforma es civil-e-defensiva: forecasta escenarios para actores del mundo real, no investiga la vida íntima de un domicilio, y no promete un resultado de token, wallet o community-credit (esos son Roadmap 🔵, sujetos a revisión Howey). El claim cross-domain es Partial ⚠️ — la disciplina de scope se comparte, los dominios (investigación privada vs. forecasting) son separados. Lo que es Production ✅ es la frontera misma: el artículo la documenta, Everythink la documenta, y ninguna la expande silenciosamente.

Preguntas frecuentes

¿Se puede geolocalizar cualquier dirección MAC?

No. El método funciona para BSSID de puntos de acceso relativamente estacionarios que han sido observados por colaboradores de wardriving. Una MAC de cliente (un móvil, un portátil) viaja con su dueño y los sistemas operativos modernos la aleatorizan — no es un identificador estable que estas bases indexan.

¿Contiene la dirección MAC la ubicación?

No. La MAC es un identificador; la ubicación viene del mecanismo — una base de wardriving que asocia el identificador con observaciones georreferenciadas, fusionadas por un centroide ponderado por señal. Theorem 3: la propiedad la garantiza el mecanismo, no el identificador. Confundir «los datos no contienen la propiedad» con «la propiedad no se puede derivar» es el error de la respuesta de Google AI.

¿Un resultado de WiGLE es medición o estimación?

Una estimación. El FAQ de WiGLE describe el cálculo como trilateración por centroide ponderado — observaciones promediadas con la intensidad de señal como peso. La estimación puede estar sesgada si la red se observó siempre desde el mismo lado. Tratar el resultado como una dirección postal es el error más común; un informe serio presenta las coordenadas como una estimación con fecha de última observación y limitaciones declaradas.

¿Cómo es el centroide ponderado lo mismo que la fusión del ensemble del Oracle?

Ambos fusionan múltiples observaciones en una sola estimación, ponderadas por una señal de calidad. WiGLE pondera observaciones por intensidad de señal; el Oracle pondera Sisters por calibración. El problema de sesgo es el mismo: si todas las observaciones vienen del mismo lado (WiGLE) o todas las Sisters comparten el mismo framing (Oracle), la fusión está sesgada. La entropía del Oracle mide esto en cada fusión; WiGLE deja la detección de sesgo al analista.

¿Usa Everythink WiGLE o hace investigación OSINT?

No. Everythink es una plataforma de forecasting, no un despacho de investigación privada. La lección cross-domain es la forma del mecanismo — la propiedad viene de la fusión, no del identificador; el scope es civil-e-defensivo, no vigilancia doméstica. No se promete ningún resultado de token, wallet o community-credit; esos son Roadmap 🔵, sujetos a revisión Howey.

Fuentes

• Ciberpatrulla, "Geolocalizar una dirección MAC: cuándo se puede y cómo", 11 ago. 2026, recuperado 2026-08-23, https://ciberpatrulla.com/geolocalizar-direccion-mac/
• WiGLE, Wireless Geographic Logging Engine, https://wigle.net/ (referenciado vía Ciberpatrulla)
• WiGLE FAQ, trilateración por centroide ponderado, https://wigle.net/faq (referenciado vía Ciberpatrulla)

Si tu equipo está listo para confiar en el mecanismo, no en el identificador, crea tu network — la topología enruta, las Sisters fusionan, el Oracle mide la entropía en cada fusión.