Escondite con los probadores: Un YouTuber y un experto en forense digital descubren un nuevo escándalo de la miel

A finales de 2024, YouTuber MegaLag publicó un vídeo exponiendo un sistema que va mucho más allá de simples trucos de comisiones. Desde entonces, Honey ha experimentado un descenso vertiginoso de su base de usuarios. De los 17 a 20 millones de usuarios de extensiones de Chrome que tuvo en su día, sólo quedan 12 millones, según las cifras actuales de Chrome Web Store cifras. En un nuevo vídeo, el YouTuber formula graves acusaciones contra la empresa. Para asegurar sus hallazgos técnicos, MegaLag trajo a bordo al renombrado investigador de seguridad Ben Edelman, quien verificó los descubrimientos de primera mano.

Juntos, sacaron a la luz un sistema del que se dice que se asemeja en sus proporciones al escándalo Dieselgate. Al parecer, el llamado sistema SSD (Selective Standdown) es una lógica oculta en el código fuente que Honey utiliza como un manto digital. El principio es supuestamente tan simple como pérfido: se afirma que la extensión del navegador reconoce características específicas para determinar si está siendo utilizada por un probador o por un usuario habitual. Según los análisis, se habrían comprobado cuatro criterios centrales para identificar a los probadores potenciales: la antigüedad de la cuenta, el saldo de puntos, una lista negra del lado del servidor y la presencia de cookies de redes de afiliación profesionales como CJ o Awin. Si Honey sospecha que alguien del sector está vigilando, se dice que la extensión se comporta de forma totalmente conforme y se abstiene de sobrescribir enlaces de seguimiento de terceros. Sin embargo, en cuanto el software identifica a un comprador normal -como alguien con muchos puntos de fidelidad y sin cookies profesionales-, al parecer pasa al modo de ataque e inyecta sus propios códigos para hacerse con comisiones que en realidad pertenecerían a personas influyentes.

Edelman compara este comportamiento con el escándalo Dieselgate de Volkswagen, ya que, al parecer, el software se programó específicamente para reconocer y manipular situaciones de prueba. Se dice que las pruebas son contundentes, ya que no se basan en conjeturas, sino que se extrajeron directamente de los archivos de configuración de la extensión y del código JavaScript. Al parecer, esta lógica manipuladora se ha ido perfeccionando a lo largo de los años; por ejemplo, el umbral de puntos necesario para desencadenar la manipulación ha pasado de unos 501 puntos en 2022 a más de 65.000 puntos en la actualidad, lo que hace casi imposible su descubrimiento por parte de probadores casuales. Para los investigadores, la ocultación selectiva a los probadores demuestra sobre todo que Honey sabía perfectamente que su propio comportamiento violaba las normas vigentes de la red y que hizo todo lo posible para que no le descubrieran. Según los informes, las pruebas del protocolo de desactivación selectiva se remontan a 2017. Esto se remonta a antes de que PayPal poseyera una parte del negocio.

Otro punto criticado en el vídeo es el engaño deliberado a los usuarios a través de una base de datos de cupones inflada artificialmente. MegaLag señala que Honey a menudo disfraza códigos caducados o incluso no funcionales como exclusivos, sólo para mantener al usuario en la extensión. Mientras se ejecuta el proceso de comprobación automatizado, Honey, según se informa, coloca su propia cookie de afiliado en segundo plano y a menudo sobrescribe enlaces de personas influyentes o creadores de contenidos, incluso si no se ha encontrado ningún descuento que funcione. Se dice que este procedimiento garantiza que la comisión acabe al final en PayPal, mientras que el intermediario original se va con las manos vacías. En otro vídeo, MegaLag también mostró que, al parecer, Honey toma los cupones de las entradas de los usuarios y los distribuye a otros usuarios. Si los operadores de las tiendas intentan tomar medidas contra esto, al parecer son intimidados para que se asocien con Honey. El comportamiento de Honey es en general cuestionable. Desde la perspectiva del usuario, las invasiones de la privacidad son sobre todo desagradables. La consecuencia más desagradable para los minoristas es probablemente la destrucción sistemática de sus estrategias de marketing. Al parecer, la publicación no autorizada de códigos de cupones privados provoca pérdidas masivas de ingresos. Para recuperar el control sobre su propio sistema de descuentos, los minoristas se ven tentados a asociarse con Honey. Las empresas y los creadores de contenidos que dependen de los ingresos del marketing de afiliación se ven sistemáticamente privados de sus ganancias, ya que, según se informa, Honey se asegura la comisión de las ventas que ya se consideran seguras sólo en el momento del pago.