¡NUEVO!¡Tu impresora te delata! Cómo los «Yellow Dots» minan tu privacidad
Imagina que imprimes un documento, lo dejas sobre la mesa y estás seguro de que lo que está escrito en esa hoja es todo lo que nadie podrá saber sobre él.
Sin embargo, la realidad es muy distinta:
Muchas impresoras láser en color modernas y fotocopiadoras añaden metadatos en secreto a cada impresión, invisibles para ti, pero legibles para forenses y autoridades. Y justo de eso tratan los famosos «Yellow Dots»: diminutos puntos amarillos que funcionan como una huella dactilar de la máquina en cada página.
Este artículo quiere ofrecerte una visión completa de qué son exactamente estos Yellow Dots, cómo surgieron, quién los utiliza, cómo interactúan con el rastreo en la nube y qué estrategias de defensa realistas tienes hoy en día.
1. Qué son realmente los «Yellow Dots» y por qué nunca los ves
Muchas impresoras láser en color y fotocopiadoras en color imprimen información adicional en el papel con cada trabajo, sin que te des cuenta. Esta información consiste en un patrón matricial de diminutos puntos amarillos repartidos por toda la página. Técnicamente se conocen como printer tracking dots, Machine Identification Code (MIC) o simplemente yellow dots.
Los puntos miden aproximadamente 0,1 milímetros, están separados entre sí por alrededor de un milímetro y forman una rejilla, por ejemplo de 8×16 puntos. Esta rejilla contiene datos codificados como, entre otros:
- el número de serie de la impresora
- la fecha y la hora de la impresión
Para que esta firma no se pierda, el patrón se repite a lo largo de toda la página, a menudo decenas o incluso cientos de veces. Según diversos análisis, en una hoja A4 puede aparecer el mismo código hasta 150 veces; incluso si destruyes el papel en tiras, suelen quedar fragmentos que aún pueden evaluarse.
En el día a día todo esto es invisible: bajo luz normal las hojas parecen de lo más normal. Solo bajo luz azul o ultravioleta, o tras un procesamiento de imagen donde se potencia el canal amarillo, el patrón emerge con claridad. Así trabajan los forenses y así pudieron organizaciones como la Electronic Frontier Foundation (EFF) analizar estos códigos.
2. De la histeria por el dinero falso a una infraestructura forense
La historia de los Yellow Dots comienza en la década de 1980, cuando las fotocopiadoras y las impresoras en color de alta calidad empezaron a ser más asequibles. Fabricantes como Xerox y Canon desarrollaron mecanismos que permitían identificar de forma inequívoca la fuente de una impresión. Oficialmente, para abordar el miedo a la falsificación de billetes. Xerox incluso obtuvo en EE. UU. una patente sobre un sistema que dispersa diminutos puntos amarillos por la superficie impresa para identificar el dispositivo.
Durante mucho tiempo esto se mantuvo como un asunto interno. La técnica solo se hizo pública en 2004, cuando las autoridades neerlandesas desenmascararon a falsificadores de dinero gracias a estos códigos de impresora. Poco después, PC World informó de que las impresoras en color llevaban años insertando este tipo de marcas invisibles.
El verdadero avance en la comprensión del sistema se lo debemos a la EFF. En 2005 hizo un llamamiento a usuarios para que enviaran páginas de prueba de diferentes impresoras láser en color y comenzó a decodificar sistemáticamente los patrones. Se vio claramente que los puntos amarillos no eran una curiosidad de unos pocos modelos, sino una característica muy extendida en gamas completas de productos. En un procedimiento FOIA, la EFF encontró documentos internos que sugerían que todos los grandes fabricantes de impresoras láser en color habían acordado con gobiernos que sus dispositivos debían ser forensemente rastreables.
Paralelamente, el tema llegó incluso a la política. En el Parlamento Europeo se plantearon en 2007 preguntas sobre si estos mecanismos de rastreo ocultos podrían violar garantías de protección de datos y derechos humanos. La Comisión Europea tuvo que admitir que no existían leyes específicas que regulasen esta técnica y que, efectivamente, planteaba cuestiones relacionadas con los derechos fundamentales, en particular la privacidad y la protección de datos personales.
En resumen: los Yellow Dots no nacieron por accidente. Son el resultado de decisiones conscientes entre fabricantes y Estados con el objetivo declarado de poder asignar documentos impresos a un dispositivo concreto, incluso años después.
3. Choque con la realidad: el caso Reality Winner
A más tardar en 2017 quedó claro qué consecuencias prácticas puede tener todo esto. La ex empleada de la NSA Reality Winner imprimió un informe secreto sobre ataques rusos al sistema electoral estadounidense y lo filtró a la plataforma de investigación The Intercept.
La redacción escaneó el documento y lo publicó prácticamente sin cambios como PDF. Poco después, varios lectores y expertos en seguridad se dieron cuenta de que en las páginas se podían ver claramente Yellow Dots al potenciar los colores. Paralelamente, medios como The Atlantic y Ars Technica informaron de que, con herramientas de la EFF, era posible reconstruir exactamente la hora de impresión y la identificación de la impresora a partir de esos puntos.
Oficialmente, en la identificación de Winner jugó un papel principal un análisis interno de accesos de la NSA: solo unos pocos empleados habían abierto el informe, y solo uno de ellos había tenido además contacto con The Intercept. Pero en la percepción pública, los Yellow Dots se convirtieron en símbolo de lo rápido que se pueden rastrear filtraciones supuestamente anónimas cuando entra en juego el trasfondo de la impresora. Incluso Wikipedia señala explícitamente que la forma en que The Intercept publicó el documento (incluyendo las marcas de la impresora) probablemente contribuyó a identificar la fuente.
Para muchos en la comunidad de seguridad, esto fue una llamada de atención: no basta con eliminar metadatos de PDFs o utilizar canales seguros para la transmisión digital. En cuanto interviene una láser en color, el propio papel puede convertirse en una trampa forense.
4. Qué impresoras se ven afectadas
Para tu propia práctica, la siguiente pregunta es decisiva: ¿esto también te afecta a ti? La respuesta depende mucho del tipo de impresora que utilices.
En el caso de las impresoras láser en color y las fotocopiadoras profesionales en color, las pruebas son más claras. Estudios y análisis muestran que prácticamente todos los dispositivos examinados de esta clase utilizan algún tipo de código de rastreo: la mayoría de las veces como patrón de puntos amarillos, a veces en otras variantes. La lista clásica de la EFF solo recoge una parte de los modelos, pero incluye una advertencia inequívoca: «es probable que todas las impresoras láser comerciales en color más recientes impriman alguna forma de código de rastreo forense, no necesariamente puntos amarillos».
La situación es distinta con las impresoras láser en blanco y negro y las impresoras de inyección de tinta. Ni la EFF ni estudios científicos han podido demostrar hasta ahora que estas categorías de dispositivos inserten de forma sistemática firmas Yellow Dot con número de serie y sello de tiempo. El artículo de Wikipedia habla explícitamente de un procedimiento que, en la práctica, se utiliza sobre todo en impresoras láser en color y fotocopiadoras.
Esto no significa que las láser B/N o las inkjet sean «limpias» por definición; en teoría, los fabricantes también podrían introducir marcas de agua más sutiles a través de niveles de gris o intensidad del tóner. Solo significa que el mecanismo concretamente documentado de los Yellow Dots es un problema de las impresoras láser en color. Si imprimes en casa con una inkjet, estás mucho más tranquilo en este aspecto que en un entorno corporativo con una rápida flota de dispositivos multifunción en color (MFP).
5. Cómo funciona la técnica en detalle
Para entender qué puedes hacer en la práctica, ayuda echar un vistazo a la tecnología. Los patrones de puntos no los genera el sistema operativo ni el controlador de impresión, sino directamente el propio dispositivo, normalmente en el firmware o en una ruta de renderizado dedicada del controlador.
Cuando envías un documento a la impresora, primero se rasteriza el contenido internamente. Después, sobre ese tramado se superpone una segunda capa invisible, compuesta por el patrón de puntos. Esta capa es independiente de los colores de tu documento. No importa si imprimes un folleto a todo color o texto negro puro: el patrón aparece de todos modos.
El patrón en sí es una especie de matriz binaria. Cada posición de la rejilla representa un bit o un grupo de bits que a su vez codifica parte de la información, de forma similar a un código de barras 2D. Según el fabricante, el número de serie, la fecha y la hora se almacenan en diferentes formatos, a veces con sumas de verificación y bits de marca para la orientación. En 2018, la Universidad Técnica (TU) de Dresde identificó cuatro esquemas de codificación diferentes empleados en 106 modelos de 18 fabricantes.
Los puntos se vuelven visibles al escanear una sección de la página a alta resolución, aislar el canal amarillo en la imagen y aumentar fuertemente el contraste. Entonces se ve una rejilla regular de puntos que parece un minúsculo cielo estrellado. Justo esta técnica de visualización es la que utiliza la EFF en sus guías y sobre esta base funcionan herramientas como DEDA para analizar los patrones de forma automática.
6. DEDA y otros proyectos de investigación: qué se puede hacer con los puntos
La TU Dresde no se quedó en la mera constatación del fenómeno. En el marco del proyecto «deda» (tracking Dots Extraction, Decoding and Anonymisation), investigadores desarrollaron herramientas capaces de detectar, decodificar y, hasta cierto punto, anonimizar automáticamente los tracking dots.
El toolkit DEDA puede extraer los patrones de Yellow Dots de escaneos de alta resolución y, en función de esquemas de codificación conocidos, deducir el número de serie utilizado y el momento de la impresión. Al mismo tiempo, ofrece funciones para calcular nuevas máscaras de puntos que, al volver a imprimir un documento, añaden puntos adicionales a la página. El objetivo es alterar tanto el patrón original que la asignación fiable a la impresora inicial ya no sea posible.
Otro trabajo importante es «Printer Watermark Obfuscation» de Maya Embar, presentado en 2014 en una conferencia de la ACM. En él se probaron distintas estrategias para neutralizar las marcas de agua de las impresoras láser en color. Un hack de firmware completo («root bypass») resultó ser muy arriesgado y prácticamente imposible de aplicar. Un intento de cubrir toda la página con amarillo fracasó porque la calibración interna de la impresora seguía permitiendo reconocer los puntos. Al final, la estrategia más prometedora fue una superposición esteganográfica, en la que se coloca de forma dirigida un patrón adicional de puntos sobre el original. Precisamente en este principio se basa la función de anonimización de DEDA.
Es importante subrayar que estas herramientas no cambian el comportamiento de la impresora como tal. Trabajan post hoc, es decir, sobre escaneos o a través de reimpresiones, y están pensadas principalmente para la investigación, la concienciación y la protección legítima en escenarios de alto riesgo, por ejemplo para periodistas o activistas que se juegan la vida si sus impresiones pueden ser rastreadas.
7. Zonas grises legales y éticas
La existencia de los Yellow Dots plantea delicadas cuestiones de principios. Por un lado, se introdujeron sin informar de forma transparente a los usuarios. En muchos manuales sigue sin aparecer a día de hoy ninguna mención de que las impresoras láser en color impriman códigos de identificación secretos. Por otro lado, estos códigos pueden utilizarse para identificar a personas sin que estas hayan dado su consentimiento o siquiera sepan que el mecanismo existe.
La EFF ya advirtió en 2008 de que los tracking dots podrían vulnerar derechos fundamentales, especialmente el derecho a la vida privada y familiar y el derecho a la protección de datos, tal y como se recogen en el Convenio Europeo de Derechos Humanos y en la Carta de los Derechos Fundamentales de la UE.
Al mismo tiempo, el uso de estos códigos está jurídicamente amparado o políticamente deseado en muchos casos, por ejemplo en la lucha contra la falsificación de moneda o determinadas formas de delincuencia organizada. Para ti como usuario queda una tensión incómoda: por un lado, no quieres que haya billetes falsos en circulación; por otro, tampoco quieres que cada página impresa pueda delatarte silenciosamente ante las autoridades.
El tema se vuelve aún más delicado cuando hablamos de antiforense. Quien intenta neutralizar deliberadamente los Yellow Dots puede entrar rápidamente en zonas legales grises, sobre todo cuando se trata de documentos especialmente protegidos por el Estado. Herramientas como DEDA deben manejarse con prudencia y no deben interpretarse como una recomendación general, sino como una demostración de la profundidad del problema.
8. Por qué no puedes simplemente desactivar los puntos
Desde la perspectiva de un usuario preocupado por la seguridad, la solución ideal suena trivial: abrir el menú, desmarcar «desactivar códigos de rastreo», listo. Que esta opción no exista no es casualidad.
La generación de los Yellow Dots tiene lugar en un nivel que no está pensado para que tú lo controles. Los fabricantes no los documentan como funciones, no aparecen en los diálogos de configuración y no existe ninguna interfaz en el controlador de impresión a través de la cual puedas gestionarlos. Son parte de la lógica interna del dispositivo, similar a uno de tantos pasos de calibración, con la diferencia de que aquí se inserta a propósito un marcador forense.
Los trabajos de investigación que han intentado sortear esa lógica a nivel de firmware llegan a la conclusión de que, aunque teóricamente sea posible, es extremadamente arriesgado en la práctica: un error al parchear puede inutilizar el dispositivo, y la cuestión de si una intervención así es legal depende mucho del país, la situación contractual y el caso de uso.
En la práctica, no existe un método «limpio» para desactivar los Yellow Dots en una impresora láser en color. Solo puedes evitarlos usando otras tecnologías de impresión, o intentar difuminar su efecto a posteriori, con todas las limitaciones y riesgos que eso conlleva.
9. Evitar en lugar de reparar
La consecuencia más importante para tu día a día suena poco espectacular, pero es enormemente eficaz: si quieres impedir que tus impresiones contengan Yellow Dots, no imprimas contenido sensible en impresoras láser en color.
Para documentos confidenciales que realmente deban estar en papel, utiliza preferentemente impresoras láser en blanco y negro o impresoras de inyección de tinta. Para estas categorías de dispositivos no se han documentado públicamente implementaciones de Yellow Dots hasta la fecha, ni aparecen como foco en la literatura forense conocida.
El segundo punto importante es plantearte en general si algo necesita imprimirse realmente. Hoy en día muchas cosas pueden gestionarse de forma más segura en digital: a través de mensajería con cifrado de extremo a extremo, correo electrónico cifrado, almacenamiento en la nube con conocimiento cero (zero-knowledge) o plataformas específicas de documentos seguros. Cada hoja que no se imprime es una huella menos.
Y si el uso de una láser en color es inevitable (por ejemplo en entornos empresariales), debe estar claro que los documentos impresos allí nunca deben considerarse «anónimos». Es muy probable que puedan vincularse de forma inequívoca a un dispositivo, a una red y, a menudo, a un grupo concreto de usuarios.
10. La segunda huella: «smart printers» y telemetría agresiva
Mientras los Yellow Dots marcan el extremo analógico de la cadena de metadatos, en los últimos años se ha intensificado enormemente una segunda tendencia: impresoras que se comunican permanentemente con la nube.
Fabricantes como HP describen de forma relativamente abierta en sus declaraciones de privacidad qué tipo de datos recogen de las impresoras conectadas. Bajo el concepto de «Printer Usage Data», HP enumera, entre otras cosas: número de páginas impresas, modos de impresión utilizados, tipos de papel y soportes, cartuchos de tinta o tóner empleados (incluyendo si son originales o de terceros), el tipo de archivo impreso (PDF, JPG, etc.), la aplicación utilizada (por ejemplo Word, Excel, Photoshop), tamaños de archivo y marcas de tiempo.
Otras fuentes relatan cómo los usuarios descubren casi por casualidad la enorme cantidad de datos de uso que sus dispositivos envían a los servidores del fabricante, especialmente cuando utilizan servicios como Instant Ink, HP Smart u ofertas en la nube similares.
Lo interesante es esto: incluso si utilizas una impresora que no genera Yellow Dots, puedes estar creando una huella digital extremadamente detallada. Quien tenga acceso a estos datos de telemetría sabe no solo que has impreso, sino a menudo también cuándo, cuánto, con qué software y desde qué dispositivo; en algunos casos incluso si usas tóner original o no.
11. Qué puedes hacer concretamente como usuario particular
De todo esto se desprende una estrategia bastante clara para ti como usuario que valora su privacidad. En primer lugar, piensa qué tipo de impresora tienes o vas a adquirir. Una sencilla impresora de inyección de tinta o una láser en blanco y negro son opciones mejores, en cuanto al rastreo con Yellow Dots, que una láser en color actual.
Si ya tienes una impresora en red, merece la pena revisar sus servicios en la nube asociados. Pregúntate, para cada función «inteligente»: ¿realmente la necesito? Si no imprimes con regularidad desde la nube o a través de apps, no es estrictamente necesario registrar tu impresora en el fabricante. Muchos dispositivos funcionan sin problemas en modo solo LAN, por ejemplo vía IPP o recursos compartidos de impresión clásicos, sin acceso directo a Internet.
Una medida sensata es tratar la impresora de tu red doméstica como un dispositivo IoT semiexterno: aislado en una VLAN propia o, al menos, con reglas de firewall restrictivas, de forma que no pueda comunicarse libremente con servidores arbitrarios en Internet. Si ves que ciertos servicios dejan de funcionar sin backend en la nube, puedes decidir caso por caso si el confort compensa la fuga de datos.
Y por último: cuida el manejo del papel. Las impresiones sensibles no deben acabar en el contenedor de reciclaje, sino en una destructora de documentos que realmente triture el material en fragmentos finos. Desde la perspectiva de la forensia clásica (independientemente de los Yellow Dots), esto es imprescindible.
12. Qué deberían hacer organizaciones y empresas
En el contexto empresarial, el tema es aún más amplio. A menudo hablamos de parques completos de dispositivos multifunción, de requisitos de cumplimiento normativo, de investigaciones internas y de la cuestión de cuánta transparencia se ofrece a los empleados.
Un buen primer paso es formular una estrategia de impresión clara como parte de las directrices de seguridad de TI y protección de datos. Esto incluye decidir de forma consciente qué tipos de impresoras se pueden utilizar para qué tipos de documentos. Puede ser razonable restringir las impresiones altamente sensibles a sistemas en blanco y negro dedicados, situados en áreas especialmente seguras.
El segundo nivel tiene que ver con la arquitectura de red. Las impresoras no deben tratarse como «periféricos tontos», sino como sistemas de TI con telemetría, firmware y posibles vulnerabilidades. Eso significa segmentación, cortafuegos, registros y una gestión de parches bien definida. Las funciones en la nube deberían estar desactivadas por defecto y activarse solo tras una evaluación explícita de riesgos.
Igualmente importante es la sensibilización de los empleados. Casi nadie sabe que las impresoras láser en color insertan códigos de identificación ocultos. Si en tu organización se tratan temas como whistleblowing, investigaciones internas o colaboración con periodistas, debes dejar claro que las impresiones físicas no son automáticamente «indetectables».
Por último, como organización debes tener siempre presente la perspectiva legal. Si rastreas sistemáticamente documentos a través de Yellow Dots o datos de telemetría, rápidamente entras en el terreno del derecho de protección de datos, los acuerdos con comités de empresa y, a veces, los límites del derecho laboral. Aquí es obligatoria una estrecha coordinación entre seguridad de TI, delegados de protección de datos y departamento jurídico.
13. Los Yellow Dots como lección sobre metadatos ocultos
Si ampliamos un poco el foco, los Yellow Dots son sobre todo una lección de hasta dónde llegan hoy los metadatos ocultos.
Las fotos contienen datos EXIF con el modelo de cámara, el número de serie y, a menudo, coordenadas GPS exactas. Los documentos de Office guardan los editores, nombres de autores y el historial de cambios. Los PDFs conocen fechas de creación e impresión. Los sistemas de mensajería y correo electrónico generan gráficos de comunicación muy detallados. Las impresoras estampan números de serie y sellos de tiempo de forma invisible sobre el papel.
Nada de esto tiene por qué generarte pánico, pero sí debería hacerte prestar atención. La privacidad en 2025 no consiste en borrar cookies una vez al año y seguir como si nada. Significa considerar los metadatos, digitales y analógicos, como un tema de primera importancia y preguntarse, con cada nueva tecnología: ¿qué información adicional se genera aquí y quién puede evaluarla?
En este punto es donde entra el trabajo de proyectos como DEDA o iniciativas como la EFF. No solo te muestran que el problema existe, sino también que, como usuario informado, no estás completamente indefenso. Puedes cuestionar la tecnología, puedes tomar decisiones conscientes y puedes ejercer presión política para que estos mecanismos, al menos, sean transparentes y estén regulados.
14. Conclusión: tu impresora es más política de lo que piensas
Un dispositivo que se supone que solo debe plasmar texto e imágenes en papel marca en secreto cada hoja con una firma única. Una infraestructura que, oficialmente, se creó para luchar contra la falsificación de dinero se utiliza hoy con toda naturalidad como herramienta forense, sin opción de exclusión, sin ajuste en el menú y sin un debate público real.
No puedes desconfigurar esta realidad, pero sí puedes incorporarla a tu estrategia de seguridad. Puedes decidir cuándo y dónde se utilizan impresoras láser en color. Puedes limitar deliberadamente los servicios en la nube y tratar los dispositivos de tu red tal y como son: fuentes de datos independientes con su propio perfil de riesgo. Y puedes plantearte, para cada documento, si realmente necesita existir en papel.
Para nosotros en Protectstar, justo ahí está el núcleo de la cuestión: conocimiento, transparencia y herramientas con las que recuperas el control sobre tus propios datos, ya sea en un smartphone, en la nube o en una hoja de papel aparentemente inofensiva.
Fuentes y enlaces adicionales
- Wikipedia: Printer tracking dots – Visión general de la técnica, historia y uso de los Yellow Dots.
https://en.wikipedia.org/wiki/Printer_tracking_dots - EFF: List of Printers Which Do or Do Not Display Tracking Dots – Lista histórica de impresoras láser en color probadas, con el comentario de que probablemente todos los dispositivos modernos utilizan algún tipo de código de rastreo.
https://www.eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots - EFF: Printer Tracking / “Is Your Printer Spying On You?” – Información de contexto sobre el descubrimiento de los códigos, el trabajo FOIA y los riesgos para la privacidad.
https://www.eff.org/issues/printers - TU Dresde – DEDA Toolkit – Página del proyecto de la TU Dresde sobre el toolkit para extracción, decodificación y anonimización de tracking dots.
https://dfd.inf.tu-dresden.de/ - Repositorio de GitHub de DEDA – Detalles técnicos y código fuente del toolkit DEDA.
https://github.com/dfd-tud/deda - Maya Embar: Printer Watermark Obfuscation, RIIT 2014 (ACM) – Trabajo científico sobre estrategias para alterar o inutilizar las marcas de agua de impresoras.
https://dl.acm.org/doi/10.1145/2656434.2656437 - EFF: EU: Printer Tracking Dots May Violate Human Rights – Análisis de la dimensión en materia de derechos humanos de los tracking dots en Europa.
https://www.eff.org/deeplinks/2008/02/eu-printer-tracking-dots-may-violate-human-rights - HP Global Privacy Statement (2024/2025) – Secciones sobre «Printer Usage Data», donde HP describe en detalle qué datos de uso recoge de las impresoras.
https://www.hp.com/content/dam/sites/worldwide/privacy/pdf/2025/aug/EN.pdf - Regula Forensics: Printer Tracking Dots: Hidden Security Marks (2025) – Descripción de cómo los servicios forenses utilizan los Yellow Dots para identificar impresoras.
https://regulaforensics.com/blog/printer-tracking-dots/ - Sophos News: Tool scrubs hidden tracking data from printed documents (2018) – Explicación de cómo se puede utilizar DEDA en la práctica para detectar y, en parte, anonimizar tracking dots.
https://news.sophos.com/en-us/2018/07/03/tool-scrubs-hidden-tracking-data-from-printed-documents/ - Ars Technica / The Atlantic sobre Reality Winner y los códigos de impresora – Artículos sobre el papel de los Yellow Dots en el caso Reality Winner.
https://www.theatlantic.com/technology/archive/2017/06/the-mysterious-printer-code-that-could-have-led-the-fbi-to-reality-winner/529350/ - Instructables / EFF: Yellow Dots of Mystery: Is Your Printer Spying on You? – Guía ilustrativa que muestra cómo hacer visibles los Yellow Dots en tus propias impresiones.
https://www.instructables.com/Yellow-Dots-of-Mystery-Is-Your-Printer-Spying-on-/
Volver