Anuncios en línea de una firma israelí infectaron sin clics equipos de Al Jazeera

Bastaba con que el anuncio apareciera en la pantalla. Citizen Lab, el laboratorio de la Universidad de Toronto que investiga el software espía, publicó el 15 de octubre la primera confirmación técnica de un ataque sin clics entregado por publicidad dirigida: dispositivos de Al Jazeera fueron infectados con el programa espía de Candiru, una empresa israelí, a través de anuncios comprados por Discover-Tech, otra firma israelí que se presenta como empresa de publicidad.

El laboratorio bautizó la técnica como AdFection. Según el informe, al menos 45 dispositivos dentro de Al Jazeera fueron atacados en 2024 y 2025, en una serie de ataques que Citizen Lab vincula "con alta confianza" con el software de Candiru distribuido por los anuncios de Discover-Tech. El informe sale coordinado con una investigación paralela de Confiant, una empresa de seguridad especializada en publicidad digital.

La huella en los registros de Al Jazeera

La prueba salió de los registros de red que el propio canal entregó a los investigadores. En los equipos infectados se repite una secuencia: primero, contacto con un dominio de Discover-Tech, la señal de que se mostró un anuncio; después, conexión con un servidor "validador" de Candiru, que revisa el dispositivo antes de seguir; y por último, comunicación con un servidor de comando y control, desde donde se maneja el programa espía. Al Jazeera aisló además, en uno de los equipos, un archivo de Windows que Citizen Lab identificó como una versión nueva de la cadena de infección de Candiru que el laboratorio había capturado en 2021.

El mecanismo aprovecha cómo funciona la publicidad en internet. Cada anuncio que aparece en una aplicación o una página es el resultado de una subasta que dura menos de un segundo, y el anuncio puede llevar código que se ejecuta en el teléfono o el navegador. Los de Discover-Tech incluían una etiqueta que, al mostrarse, enviaba los identificadores publicitarios del usuario a un servidor de la empresa. Si ese usuario era un objetivo, el servidor devolvía código para ejecutar; si no, no devolvía nada. Así, Discover-Tech evitaba entregar el código malicioso a las plataformas que distribuían sus anuncios.

Para elegir a quién atacar, Discover-Tech ofrece a sus clientes una plataforma llamada Controlium, que permite apuntar a una persona por el identificador publicitario de su celular, por el de su navegador o por su dirección IP. Según Citizen Lab, servir de puente entre la industria del software espía y la publicidad parece ser el propósito principal de la empresa.

Doscientos mil sitios y apps

La escala es lo que más inquieta. Citizen Lab analizó cuatro mil millones de registros de ofertas de Discover-Tech entre marzo y junio de 2026: en ese período, sus anuncios con la etiqueta maliciosa se mostraron en más de 75.000 aplicaciones de Android e iOS y en unos 120.000 sitios web, con ofertas en 161 países. Aparecieron en apps como Viber, Truecaller, Duolingo y MX Player, y en sitios como weather.com, yahoo.com y bbc.com. Los anuncios hicieron que millones de dispositivos se conectaran con servidores de Candiru, probablemente para rastrearlos y hacer reconocimiento a gran escala, según el informe.

Latinoamérica aparece en los datos. Brasil fue el cuarto país con más ofertas de esos anuncios, con unos 76 millones, y México el quinto, con unos 33 millones. Los investigadores también encontraron impresiones en redes de los organismos electorales de México, Armenia e Indonesia, en redes de la OTAN, de las Naciones Unidas y de instituciones de la Unión Europea, y Confiant halló señales en el Departamento de Defensa de Estados Unidos, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Citizen Lab aclara que una impresión no confirma por sí sola una infección: muestra que esos dispositivos quedaron al alcance.

Una empresa certificada por la industria

Discover-Tech figuró entre 2020 y 2026 en listas de proveedores "certificados" y "aprobados" de Google y de IAB Europe, la asociación del sector publicitario, y colocó anuncios a través de Google, Yandex y Beeswax, la plataforma de compra de Comcast. Tras la investigación, Google, que colaboró con el laboratorio, le cortó el acceso a sus plataformas a principios de octubre, IAB Europe la sacó de su registro y Beeswax, Vungle y Eskimi la bloquearon o suspendieron.

Ni Discover-Tech ni Candiru respondieron a Citizen Lab. Candiru, que hoy opera como Integrity Labs tras su compra por la estadounidense Integrity Partners, figura desde noviembre de 2021 en la lista negra del Departamento de Comercio de Estados Unidos por vender software espía usado contra periodistas, activistas y funcionarios. El laboratorio pide a los reguladores que investiguen a las dos empresas y anticipa un segundo informe sobre otro actor, al que llama DARK CARTOGRAPHER, que usa la infraestructura de Discover-Tech para vincular identificadores publicitarios con números de teléfono.

Para las personas, Citizen Lab recomienda usar un bloqueador de anuncios confiable, un navegador que bloquee el rastreo, y reiniciar con frecuencia el identificador publicitario del celular y desactivar el seguimiento de anuncios. Para quien corre un riesgo alto por su trabajo, como periodistas y activistas, el consejo es buscar ayuda experta: frente a AdFection, ver publicidad dirigida ya no es inofensivo.