Un anuncio bastaba para instalar software espía, demuestra Citizen Lab

Un anuncio en internet puede llevar algo más que una imagen. También puede incluir código, y los investigadores de Citizen Lab, de la Universidad de Toronto, han demostrado que ese código puede usarse para instalar spyware en el dispositivo de una persona concreta sin que esta toque siquiera la pantalla. El laboratorio llama a la técnica AdFection. Quien fuera hackeado de este modo «no vería nada raro», explicó a Wired el investigador sénior Bill Marczak. «De hecho, puede que ni siquiera viera ningún anuncio».

Esto importa a cualquiera que tenga el móvil lleno de aplicaciones gratuitas. Hasta ahora, los ataques de clic cero se han llevado a cabo sobre todo aprovechando fallos en aplicaciones de mensajería, que las empresas pueden corregir con parches. Este, en cambio, se colaba por el mecanismo habitual que decide qué anuncio ves: una subasta que se resuelve en una fracción de segundo cada vez que se carga una aplicación o una página web, y que ya comparte el identificador publicitario de tu dispositivo, tu dirección IP y datos sobre tu teléfono.

En el centro de la trama está Discover-Tech, una empresa registrada en Israel que se presentaba como compañía publicitaria. Según el informe, su plataforma, Controlium, permitía a sus clientes seleccionar a una persona concreta mediante su identificador publicitario, una cookie del navegador o su dirección IP, y enviar código a ese dispositivo en cuanto se mostraba un anuncio. A los demás usuarios les aparecía un anuncio normal. Citizen Lab atribuye, con un alto grado de confianza, una serie de ataques contra la cadena de noticias Al Jazeera a Candiru, una empresa de spyware que ahora se hace llamar Integrity Labs. Se atacaron al menos 45 dispositivos de la cadena, y uno de los ordenadores Windows infectados dejó al descubierto un archivo que apuntaba a los servidores de Candiru.

La forma en que los investigadores consiguieron entrar en el sistema resulta casi cómica. La página de inicio de sesión de Controlium incluía el código fuente completo de su propio panel de control, así que el equipo guardó la página, cortó sus conexiones con servidores externos y activó todas las pantallas. Además, un servidor de Discover-Tech dejó expuestos casi 4.000 millones de registros de pujas publicitarias. En ellos aparecen anuncios con la etiqueta de script del atacante en 75.373 aplicaciones para Android e iOS y en 120.768 sitios web. También figuran nombres conocidos: la aplicación de mensajería Viber mostró más de 700.000 de esos anuncios en Android, y también aparecieron en Yahoo Mail, Opera Mini y Duolingo.

Conviene interpretar esas cifras con cautela. Que aparezca un anuncio de Discover-Tech en tu pantalla no significa que hayan hackeado tu teléfono, recalca el laboratorio. En la mayoría de los casos, su servidor no enviaba ningún código, y los datos de pujas solo abarcan una de las plataformas publicitarias de la empresa durante cuatro meses. Citizen Lab no ha revelado qué gobiernos pagaron por la operación contra Al Jazeera, y el hecho de que los anuncios llegaran a redes de la OTAN, las Naciones Unidas y varias instituciones europeas demuestra su alcance, no que se produjeran infecciones confirmadas. En Noruega, los anuncios llegaron a las redes del Parlamento y la policía; en Suecia, a las de las Fuerzas Armadas y el operador nacional de la red eléctrica. Las medidas de protección al alcance de la gente corriente son drásticas. El consejo de Marczak para cualquiera que pueda ser objeto de un ataque «por quién eres o por lo que haces» es desactivar el seguimiento publicitario o bloquear todos los anuncios.

La industria publicitaria ya ha empezado a reaccionar. Google asegura que bloqueó a Discover-Tech en sus plataformas publicitarias tras una investigación conjunta con Citizen Lab y la empresa de seguridad Confiant, y que añadió avisos de Safe Browsing para los sitios web vinculados al grupo. IAB Europe suspendió a la empresa de su lista de proveedores publicitarios aprobados, y Beeswax, propiedad de Comcast, la expulsó de su plataforma. Discover-Tech no respondió a Wired ni a TechCrunch.

Citizen Lab publicó el informe el 15 de octubre de 2026. En él se analizan los ataques contra Al Jazeera de 2024 y 2025, así como los datos de pujas recopilados entre marzo y junio de 2026. El laboratorio prepara un segundo informe sobre otro grupo, al que ha llamado DARK CARTOGRAPHER, que, según afirma, utilizó la misma infraestructura para relacionar los identificadores publicitarios de los teléfonos con sus números mediante vulnerabilidades de las operadoras móviles en más de 30 países.

Marczak considera que Discover-Tech «seguramente no es más que la punta del iceberg». Su equipo no tuvo que buscar mucho para encontrar sus anuncios. Les aparecieron en sus propias pantallas mientras leían las webs de CBC y Yahoo y jugaban al sudoku en Android.

Etiquetas: ciberseguridad, publicidad digital, AdFection, Candiru, Citizen Lab, Discover-Tech