AdFection: ¿cómo pueden los anuncios en línea distribuir spyware?
La publicidad en línea está diseñada para conectar a los anunciantes con los usuarios interesados en ciertos productos y servicios. Sin embargo, una investigación publicada por Citizen Lab, el laboratorio de investigación en seguridad digital de la Universidad de Toronto, muestra que la misma infraestructura puede ser explotada para vigilancia y ataques cibernéticos sofisticados de tipo spyware.
En el informe oficial, publicado por Citizen Lab, los investigadores documentan una técnica llamada AdFection, mediante la cual los anuncios dirigidos pueden ser utilizados para entregar spyware sin que la víctima tenga que hacer clic en un enlace o abrir un archivo.
La investigación identifica una infraestructura asociada a la empresa israelí Discover-Tech y su plataforma Controlium. Según los autores, esto habría facilitado tanto la identificación y perfilado de usuarios, como la distribución de spyware comercial desarrollado por Candiru, una empresa conocida posteriormente como Integrity Labs. Un elemento especialmente importante es la confirmación técnica presentada por Citizen Lab: los investigadores afirman haber identificado dispositivos dentro de la organización de medios Al Jazeera infectados con spyware a través de anuncios en línea dirigidos.
El informe no se limita a un caso aislado. Los autores analizan miles de millones de registros publicitarios, infraestructura de software, conexiones entre proveedores y datos técnicos para explicar cómo los sistemas construidos para publicidad pueden ser transformados en un canal de espionaje.
¿Cómo funciona un ataque de spyware de cero clic a través de la publicidad?
Para entender la técnica AdFection, es necesario analizar cómo se entregan los anuncios en sitios web y aplicaciones. La mayoría de los usuarios ven los anuncios como imágenes, videos o banners. En realidad, la publicidad digital programática implica una infraestructura compleja, compuesta por plataformas de licitación, intermediarios, anunciantes y proveedores de tecnología publicitaria.
Subasta publicitaria en tiempo real
Cuando un usuario abre una página web o una aplicación que muestra anuncios, puede tener lugar un proceso llamado Real-Time Bidding (RTB). En un intervalo muy corto, las plataformas publicitarias evalúan la oportunidad de mostrar un anuncio determinado. Las solicitudes de licitación pueden incluir información como la dirección IP, identificadores publicitarios, características del dispositivo y datos sobre la aplicación o página accedida.
Esta información puede permitir la orientación de anuncios a ciertas categorías de usuarios o incluso a dispositivos individuales, dependiendo de los identificadores disponibles. El sistema está diseñado para personalizar la publicidad, sin embargo, la capacidad de identificar usuarios y enviar código a dispositivos también crea oportunidades de abuso.
Ejecución del código asociado al anuncio
Un anuncio digital no siempre contiene solo una imagen o un video. Puede incluir scripts y componentes proporcionados por diferentes intermediarios, que se ejecutan en el navegador o en el entorno de visualización de la aplicación.
Según el análisis de Citizen Lab, la infraestructura asociada a Discover-Tech podría utilizar scripts Java para solicitar código adicional de servidores controlados por la empresa. En un escenario de ataque, el código adicional puede ser dirigido a un usuario específico, en lugar de ser entregado a todas las personas que ven el anuncio.
Identificación del objetivo y entrega del spyware
Según los investigadores, la plataforma Controlium permitía gestionar identificadores de usuarios, configurar campañas y observar datos asociados a solicitudes publicitarias. Esta capacidad podía ser utilizada para identificar los dispositivos objetivo y entregar código en el momento de la visualización del anuncio. Si el dispositivo cumplía con las condiciones necesarias y las vulnerabilidades explotadas estaban presentes, el ataque podía continuar con la instalación del spyware.
Este es el significado del término zero-click: la víctima no tiene que interactuar explícitamente con el anuncio para que el ataque se lleve a cabo. Es importante señalar que la visualización de un anuncio no conduce automáticamente a la infección de cualquier dispositivo. El ataque descrito implica una infraestructura especialmente diseñada, la selección del objetivo y la existencia de condiciones técnicas que permiten la compromisión del sistema.
¿Qué han descubierto los investigadores sobre Discover-Tech y la plataforma Controlium?
Citizen Lab describe a Discover-Tech como una empresa que se presentaba como proveedor legítimo de publicidad digital, pero que habría tenido un papel de intermediario entre el ecosistema publicitario y varios proveedores de herramientas de vigilancia. Su plataforma, Controlium, es uno de los elementos centrales de la investigación.
Según el informe, el análisis de la interfaz y del código de la plataforma ha destacado funciones para configurar campañas, gestionar identificadores de usuarios, consultar solicitudes publicitarias y verificar las visualizaciones de anuncios. Los investigadores también identificaron mecanismos por los cuales el código podría ser transmitido condicionalmente a ciertos dispositivos.
El informe también presenta pruebas de conexiones entre Discover-Tech y varias entidades de la industria de la vigilancia comercial, incluyendo Candiru/Integrity Labs, Intelos y Bindecy. La naturaleza y el alcance de las relaciones varían según la entidad y las pruebas analizadas; no se debe suponer que todas estas empresas tuvieron el mismo papel en cada ataque.
Otro aspecto importante es la infraestructura de servidores utilizada para la entrega de scripts. Citizen Lab describe servidores que podían decidir si un identificador determinado era elegible para recibir código adicional. En ciertas situaciones, los servidores no devolvían contenido, lo que podía dificultar la observación del mecanismo por parte de personas que no formaban parte del grupo objetivo.
Estos hallazgos muestran por qué el análisis técnico de la publicidad digital puede requerir más que un examen visual de un banner. Para entender un ataque, los investigadores deben correlacionar datos de licitación, código, infraestructura de red e identificadores técnicos.
Casi cuatro mil millones de registros publicitarios analizados
Una de las contribuciones más relevantes del informe de Citizen Lab es el análisis del volumen de actividad publicitaria asociado a la plataforma MyDSP, operada por Discover-Tech. Los investigadores analizaron casi cuatro mil millones de registros de licitación publicitaria para el período de marzo a junio de 2026. Los datos indican que los anuncios asociados a la empresa se mostraron en más de 120,000 sitios web y en más de 75,000 aplicaciones Android e iOS.
El informe distingue entre el número de solicitudes de licitación, el número de licitaciones ganadas y los anuncios efectivamente mostrados. Estas categorías no son equivalentes y no deben interpretarse como el número de víctimas o de dispositivos infectados. Para el mismo período, los datos de MyDSP analizados por los investigadores indicaban aproximadamente 3.77 mil millones de licitaciones y alrededor de 442 millones de visualizaciones ganadas. Los autores también identificaron un volumen importante de licitaciones asociadas a anuncios que parecían contener scripts que indicaban servidores NOAS, utilizados en el mecanismo investigado.
Según el informe, tales anuncios se mostraron a usuarios de numerosos países y a través de una variedad de aplicaciones y sitios web. Los datos geográficos se basan en parte en direcciones IP, y Citizen Lab advierte que la geolocalización IP puede ser inexacta, incluso debido a VPNs o a la infraestructura de red.
Estas cifras demuestran la magnitud de la infraestructura publicitaria analizada, no el hecho de que cientos de millones de personas hayan sido infectadas. La exposición a un anuncio, la identificación de un usuario y la compromisión de un dispositivo son eventos distintos. Esta diferencia es esencial para la interpretación correcta del informe y para evitar exagerar el riesgo.
El caso Al Jazeera: pruebas técnicas sobre la infección por spyware
Citizen Lab afirma haber identificado dispositivos dentro de la red Al Jazeera infectados con spyware comercial atribuido a la empresa Candiru, conocida posteriormente como Integrity Labs. El informe presenta pruebas técnicas que vinculan los incidentes de 2024 y 2025 con la infraestructura publicitaria investigada. Los investigadores han analizado, entre otras cosas, vínculos de infección, parámetros técnicos y datos asociados a los sistemas utilizados para la entrega de ataques.
La importancia del caso radica en que la investigación no solo describe la posibilidad teórica de utilizar anuncios para ataques cibernéticos. Los autores afirman haber documentado técnicamente el uso de este mecanismo para comprometer dispositivos reales. Para las organizaciones de medios, tales ataques pueden tener consecuencias graves. El acceso no autorizado a los dispositivos de los periodistas puede poner en peligro las fuentes, las comunicaciones confidenciales y la información sobre investigaciones en curso.
Sin embargo, el caso no debe interpretarse como prueba de que cualquier periodista o usuario de una aplicación mencionada en el informe haya sido infectado. La presencia de un anuncio en una aplicación no equivale a la infección de todos los usuarios de la misma.
¿Qué datos pueden ser recolectados y qué riesgos existen para la privacidad?
El informe de Citizen Lab analiza dos categorías distintas de amenazas: la vigilancia a través de los datos del ecosistema publicitario y la compromisión de dispositivos a través de spyware. La primera puede ocurrir incluso sin la instalación de un programa malicioso. Los datos generados por las licitaciones publicitarias pueden permitir la correlación de ciertos identificadores con direcciones IP, ubicaciones aproximadas, aplicaciones utilizadas y patrones de actividad. Esta práctica es relevante para lo que la industria llama advertising intelligence o ADINT: el uso de datos publicitarios para fines de análisis y vigilancia.
La segunda categoría implica un riesgo más severo. Si un atacante logra instalar spyware en un dispositivo, la información accesible depende del programa, las vulnerabilidades explotadas y el nivel de acceso obtenido. Dependiendo de las capacidades de la herramienta, pueden exponerse comunicaciones, archivos, fotografías y otros datos personales.
Citizen Lab también describe una operación distinta, denominada por los investigadores DARK CARTOGRAPHER, que explotaría vulnerabilidades en redes móviles para asociar identificadores publicitarios con números de teléfono. Los autores indican que la investigación sobre este actor está en curso y que publicarán análisis adicionales.
Por lo tanto, el riesgo no se limita a la publicidad maliciosa. También incluye la posibilidad de transformar los datos recolectados para la personalización de anuncios en una herramienta de identificación y seguimiento de personas.
¿Cómo puedes protegerte contra el spyware distribuido a través de anuncios?
Un ataque de cero clic no requiere una acción evidente por parte del usuario. Por esta razón, simplemente evitar enlaces sospechosos no es suficiente para eliminar todos los riesgos. Sin embargo, hay medidas que pueden reducir la exposición y mejorar la seguridad de los dispositivos.
Actualiza el sistema operativo y las aplicaciones
Instala las actualizaciones de seguridad para Android, iOS, Windows, macOS y los navegadores utilizados. Estas pueden remediar vulnerabilidades que podrían ser explotadas para comprometer los dispositivos. Las actualizaciones no ofrecen protección absoluta contra herramientas avanzadas de vigilancia, pero son un componente esencial de la defensa.
Reduce la exposición al seguimiento publicitario
Revisa la configuración de privacidad de tu teléfono y navegador. Limita los identificadores publicitarios y los permisos para aplicaciones que no necesitan acceso a la ubicación o a otra información sensible.
Las protecciones anti-tracking y el bloqueo de anuncios pueden reducir ciertas formas de recolección de datos y limitar la exposición a algunos anuncios maliciosos. Sin embargo, estas herramientas no garantizan la prevención de ataques de cero clic.
Utiliza funciones avanzadas de seguridad
Los usuarios de alto riesgo, como periodistas, activistas y personas que manejan información confidencial, deberían evaluar las funciones avanzadas de protección ofrecidas por sus sistemas operativos. En entornos organizacionales, las medidas pueden incluir la monitorización de dispositivos, políticas estrictas de actualización, gestión centralizada de la seguridad y procedimientos de respuesta a incidentes.
No interpretes síntomas comunes como pruebas de infección por spyware
Una batería que se descarga rápidamente, un teléfono que se calienta o un consumo inusual de datos no demuestran, por sí mismos, la existencia de spyware. Si hay indicios concretos de un ataque sofisticado, se recomienda la evaluación del dispositivo por un especialista en seguridad cibernética.
En tales situaciones, reiniciar el teléfono no debe considerarse automáticamente una solución suficiente, especialmente si es necesario preservar pruebas para una investigación.
¿Qué medidas se han tomado tras la investigación de Citizen Lab?
El informe muestra que los investigadores han transmitido los hallazgos a proveedores de tecnología publicitaria y organizaciones de la industria. Según Citizen Lab, Google e IAB Europe han eliminado a Discover-Tech de sus registros de proveedores aprobados, y Beeswax ha interrumpido el acceso de la empresa a su plataforma. Vungle (Liftoff) y Eskimi también han tomado medidas para suspender o bloquear el acceso.
Estas intervenciones son importantes porque demuestran que la prevención de abusos no puede dejarse exclusivamente en manos de los usuarios. Los proveedores de publicidad tienen un papel directo en verificar a sus socios, monitorear su comportamiento y cortar el acceso cuando surgen pruebas creíbles de abuso.
Citizen Lab también solicita investigar posibles violaciones de la legislación aplicable por parte de Discover-Tech y Candiru/Integrity Labs. Este llamado debe diferenciarse de un fallo judicial: el informe presenta hallazgos de investigación y recomendaciones, no establece por sí mismo la responsabilidad legal definitiva de las empresas.
¿Por qué este tipo de spyware representa un problema para toda la industria publicitaria?
La investigación destaca un problema estructural: la infraestructura publicitaria permite la circulación de volúmenes muy grandes de datos e involucra a numerosos intermediarios, sin que el usuario pueda ver o controlar todos los componentes técnicos que participan en la visualización de un anuncio. Un proveedor que tiene acceso a identificadores publicitarios y mecanismos de entrega de código puede tener la posibilidad de utilizar estas funciones más allá del propósito comercial declarado.
En el caso de AdFection, Citizen Lab sostiene que esta infraestructura fue explotada para vigilancia, perfilado y entrega de spyware. Los investigadores consideran que la situación destaca deficiencias sistémicas en la forma en que la industria publicitaria verifica y monitorea a los actores que participan en las licitaciones.
Para reducir el riesgo, se necesitan verificaciones más estrictas de los proveedores, auditorías técnicas independientes, limitación del acceso a datos, mecanismos efectivos de reporte e intervención, así como una evaluación cuidadosa de cómo se puede ejecutar el código de terceros en aplicaciones y navegadores. Estas medidas son relevantes no solo para las empresas de publicidad, sino también para los desarrolladores de aplicaciones, administradores de sitios, instituciones públicas y organizaciones que manejan datos sensibles.
La publicidad digital debe ser tratada como un riesgo de seguridad cibernética
El informe de Citizen Lab sobre AdFection documenta cómo la infraestructura de la publicidad en línea puede ser explotada para vigilancia y distribución de spyware sin clic. El análisis de Discover-Tech, la plataforma Controlium y los vínculos con proveedores de spyware comercial muestran que los riesgos del ecosistema publicitario van más allá de la privacidad y el seguimiento con fines de marketing.
Para los usuarios, actualizar dispositivos, limitar el seguimiento publicitario y utilizar funciones de seguridad adecuadas son medidas importantes, incluso si no pueden eliminar todos los riesgos. Para la industria, la lección principal es que la verificación de proveedores, la auditoría de la infraestructura y la intervención rápida en casos de abuso deben convertirse en componentes centrales de la seguridad de la publicidad digital.
Si un anuncio puede convertirse en un instrumento de espionaje, la seguridad en línea ya no depende solo de lo que haga el usuario, sino que se convierte en la responsabilidad de todo el ecosistema tecnológico.
Fuente: citizenlab.ca
Nota: imagen generada por IA
