Una investigación de Citizen Lab reveló que publicidad digital fue utilizada para infectar con spyware dispositivos vinculados a Al Jazeera sin que los usuarios tuvieran que hacer clic en ningún enlace.
El centro de la Universidad de Toronto aseguró que se trata de la primera confirmación técnica de ataques con programas espía mercenarios distribuidos mediante anuncios digitales y ejecutados sin intervención del usuario.
La técnica fue denominada “AdFection”. Según los investigadores, aprovecha el sistema automatizado de publicidad que decide qué anuncios aparecen en páginas web y aplicaciones.
Citizen Lab determinó con “alta confianza” que al menos 45 dispositivos de Al Jazeera fueron atacados en 2024 y 2025 con tecnología vinculada a Candiru, una empresa israelí de spyware que ahora opera bajo el nombre Integrity Labs.
Los ataques fueron distribuidos mediante anuncios comprados por Discover-Tech, una compañía israelí que se presentaba como empresa de publicidad digital. La investigación sostiene que actuaba como puente entre el ecosistema publicitario y proveedores de programas espía.
Cómo funcionaban los ataques sin hacer clic
Cuando Discover-Tech conseguía colocar un anuncio en una página o aplicación, el sistema podía recopilar datos del dispositivo. Entre ellos figuraban la dirección IP y distintos identificadores utilizados por la industria publicitaria.
Si el dispositivo había sido seleccionado como objetivo, el anuncio podía solicitar y ejecutar código de manera automática. De esta forma, la infección podía producirse sin que la persona pulsara sobre la publicidad.
Citizen Lab analizó unos 4.000 millones de registros de pujas publicitarias. Durante un periodo de cuatro meses, encontró anuncios de Discover-Tech en casi 200.000 páginas web y aplicaciones de distintos países.
Los investigadores también detectaron anuncios en dispositivos conectados a redes sensibles, incluidas organizaciones internacionales, organismos gubernamentales, fuerzas armadas e infraestructura crítica.
Sin embargo, Citizen Lab advirtió que la aparición de uno de estos anuncios no demuestra por sí sola que un dispositivo haya sido atacado o infectado. En muchos casos, el sistema pudo limitarse a recopilar información sobre el usuario y su equipo.
La investigación identificó actividad en redes de países como Brasil, México y Uruguay, entre otros.
También detectan actividad en España y México
En paralelo, la empresa estadounidense de ciberseguridad Confiant investigó operaciones publicitarias relacionadas con Discover-Tech y la infraestructura asociada a Candiru.
La compañía detectó actividad en nueve países, entre ellos España y México, y señaló una presencia especialmente intensa en la península Ibérica y el Estrecho de Gibraltar.
Citizen Lab aseguró que Discover-Tech había conseguido operar durante años dentro de plataformas publicitarias convencionales y aparecía en registros de proveedores aprobados.
Tras la investigación, Google eliminó a Discover-Tech de sus plataformas de intercambio de anuncios. IAB Europe también retiró a la compañía de sus registros de proveedores a principios de octubre.
Otras empresas del sector tomaron medidas similares. Beeswax eliminó a Discover-Tech de su plataforma, mientras Vungle suspendió su acceso durante una revisión y Eskimi bloqueó sus cuentas y dominios.
El hallazgo plantea nuevas preocupaciones sobre la cantidad de información que circula dentro de las subastas automáticas de publicidad y sobre cómo esos datos pueden utilizarse para identificar y atacar dispositivos específicos.
