Una investigación de Citizen Lab, de la Universidad de Toronto, registró por primera vez evidencia técnica de infecciones con spyware comercial mediante anuncios digitales dirigidos, sin necesidad de que las víctimas hagan clic o interactúen con ellos. El hallazgo revela cómo la infraestructura de publicidad programática puede utilizarse para distribuir software de espionaje y comprometer dispositivos de manera selectiva.
La operación, denominada AdFection por los investigadores, involucra a Discover-Tech, una compañía israelí vinculada con la distribución de software de vigilancia desarrollado por Candiru. Entre 2024 y 2025, al menos 45 dispositivos de la cadena de noticias Al Jazeera fueron objetivo de ataques mediante esta técnica. Citizen Lab confirmó infecciones, aunque no determinó que los 45 equipos hubieran sido comprometidos.
La investigación, difundida también por Wired, plantea un riesgo que trasciende a las víctimas identificadas: la posibilidad de convertir anuncios aparentemente convencionales en un mecanismo de ataque que no depende de errores o acciones de los usuarios.
Cómo funciona el ataque a través de anuncios
El mecanismo aprovecha el sistema de subastas publicitarias en tiempo real, conocido como real-time bidding, mediante el cual los anunciantes compiten automáticamente por mostrar publicidad a determinados usuarios mientras navegan por sitios web o aplicaciones.
Según Citizen Lab, Discover-Tech utilizaba una plataforma denominada Controlium para identificar dispositivos, elaborar perfiles y seleccionar posibles objetivos. Cuando un anuncio asociado con la compañía aparecía en una página o aplicación, podía establecer una conexión con sus servidores y transmitir identificadores publicitarios y otros datos del dispositivo.
A partir de esa información, la infraestructura determinaba si correspondía entregar código adicional. En los casos seleccionados, este mecanismo permitía ejecutar un ataque sin que la víctima tuviera que abrir un enlace, descargar un archivo o realizar alguna otra acción.
El análisis de los registros de red proporcionados por Al Jazeera permitió reconstruir la secuencia de los ataques. Los dispositivos infectados primero establecieron contacto con infraestructura de Discover-Tech y posteriormente con servidores asociados con Candiru, según los investigadores.
La técnica también dificulta su detección. El anuncio puede mostrarse normalmente o ejecutarse en segundo plano, sin generar señales evidentes para el usuario.
Una infraestructura con alcance global
El alcance de las operaciones identificadas fue considerable. Citizen Lab analizó aproximadamente 4,000 millones de registros de subastas publicitarias y encontró que, entre marzo y junio de 2026, anuncios vinculados con Discover-Tech aparecieron en más de 70,000 aplicaciones móviles y 120,000 sitios web.
Los investigadores también identificaron que millones de dispositivos fueron dirigidos a servidores asociados con Candiru, potencialmente para actividades de seguimiento y reconocimiento.
Sin embargo, estas cifras no representan el número de equipos infectados. Citizen Lab precisa que no todos los anuncios estaban necesariamente preparados para distribuir software malicioso y que parte de la infraestructura se utilizaba para recopilar información sobre posibles objetivos.
La investigación detectó, además, impresiones publicitarias vinculadas con Discover-Tech en redes de organismos gubernamentales, proveedores de infraestructura crítica y entidades internacionales, incluidas la OTAN y Naciones Unidas. Estos registros tampoco demuestran que dichas organizaciones hayan sufrido infecciones.
El hallazgo evidencia cómo la capacidad de segmentación de la publicidad digital, diseñada para identificar audiencias comerciales, también puede aprovecharse para localizar personas y dispositivos específicos.
Google y la industria publicitaria responden
Tras colaborar con Citizen Lab y la firma de ciberseguridad Confiant, Google bloqueó a Discover-Tech de sus plataformas publicitarias por incumplir sus políticas. La compañía también incorporó advertencias de navegación segura para sitios vinculados con la operación.
Por su parte, IAB Europe retiró a Discover-Tech de su lista global de proveedores publicitarios. Otras compañías del sector, como Beeswax, también suspendieron o eliminaron su acceso a las plataformas utilizadas para contratar anuncios.
Estas medidas adquirieron relevancia porque Discover-Tech había figurado durante años en registros de proveedores aprobados por actores de la industria publicitaria. Según los investigadores, esa condición facilitó su participación en un ecosistema utilizado por miles de aplicaciones y sitios web.
Citizen Lab también señaló que Discover-Tech operaba como intermediario entre el negocio de la publicidad digital y proveedores de software de vigilancia. La firma israelí no respondió a las solicitudes de comentarios realizadas por los investigadores antes de la publicación del informe.
Qué implica para la ciberseguridad empresarial
El caso introduce un riesgo adicional para las organizaciones que administran dispositivos móviles con acceso a información corporativa. A diferencia de los ataques tradicionales de phishing, esta modalidad no necesita persuadir al usuario para que abra un enlace o descargue un archivo malicioso.
Esto no elimina la importancia de capacitar a los colaboradores, pero demuestra que las medidas basadas exclusivamente en prevenir errores humanos resultan insuficientes frente a determinados ataques sofisticados.
El hallazgo refuerza la conveniencia de revisar los controles de navegación, la protección de dispositivos móviles y la supervisión de conexiones hacia infraestructura potencialmente maliciosa. También plantea la necesidad de evaluar los riesgos asociados con servicios y proveedores externos que intervienen en la distribución de contenido digital.
No obstante, las medidas disponibles tienen limitaciones. El bloqueo de publicidad puede reducir la exposición a determinados vectores, pero no garantiza protección frente a todas las técnicas de infección sin interacción del usuario.
La investigación de Citizen Lab revela, sobre todo, un problema estructural: una infraestructura diseñada para identificar usuarios y distribuir contenido personalizado a gran escala puede ser utilizada para ejecutar operaciones de vigilancia selectiva.
