Una investigación de seguridad informática descubrió que determinados anuncios publicados en páginas web y aplicaciones pueden utilizarse para instalar programas espía sin que la víctima haga clic. El mecanismo aprovecha la infraestructura publicitaria para identificar equipos y ejecutar ataques dirigidos mediante vulnerabilidades del navegador o del sistema operativo.
La técnica, denominada AdFection, constituye la primera confirmación técnica pública del uso de publicidad dirigida para distribuir programas espía comerciales sin intervención del usuario. La investigación publicada por Citizen Lab el 15 de octubre documenta la participación de Discover-Tech, una empresa israelí relacionada con operaciones que utilizaban el software de espionaje Candiru.
Durante 2024 y 2025, al menos 45 dispositivos de la cadena internacional Al Jazeera fueron identificados como objetivos. Los especialistas encontraron evidencias de infecciones, aunque no establecieron que todos los equipos atacados terminaran comprometidos.
El laboratorio de la Universidad de Toronto examinó cerca de 4.000 millones de registros de ofertas publicitarias. Entre marzo y junio de 2026, detectó anuncios de Discover-Tech en más de 120.000 sitios web y 70.000 aplicaciones móviles. Estas cifras corresponden a lugares donde se distribuyó publicidad, no al número de dispositivos infectados.
Cómo funcionan los anuncios que infectan sin hacer clic
Cuando una persona abre una página web o aplicación, diferentes empresas participan en la selección de los anuncios que aparecen en pantalla. Durante ese proceso intercambian información como direcciones IP, identificadores publicitarios y características técnicas del celular o computador.
Discover-Tech utilizaba esos datos para reconocer posibles objetivos. Sus servidores examinaban la información recibida y determinaban si debían enviar contenido adicional. Así podían localizar usuarios específicos entre quienes navegaban por internet.
Los investigadores identificaron una plataforma llamada Controlium, diseñada para seleccionar destinatarios mediante identificadores y otros datos publicitarios. Esta herramienta permitía dirigir contenido malicioso a equipos previamente seleccionados a través de los sistemas habituales de distribución de anuncios.
Una vez reconocido el objetivo, los atacantes podían aprovechar vulnerabilidades para ejecutar código e instalar el programa espía. La operación no requería abrir enlaces, descargar archivos ni conceder permisos. También podía comenzar mientras la publicidad se cargaba en segundo plano.
Esta modalidad se conoce como zero-click, porque no exige ninguna acción de la víctima. Sin embargo, la infección dependía de que el equipo fuera seleccionado y presentara una vulnerabilidad aprovechable. Visualizar un anuncio de Discover-Tech no significaba necesariamente que hubiera ocurrido una intrusión.
En Al Jazeera, Citizen Lab identificó comunicaciones entre los servicios publicitarios y servidores asociados con Candiru. El análisis permitió reconstruir parte del procedimiento empleado para comprometer los dispositivos afectados.
Google retiró a Discover-Tech de sus plataformas publicitarias
Discover-Tech aparecía desde 2020 en registros de proveedores del sector, lo que le permitía participar en servicios utilizados por numerosos sitios web y aplicaciones. Sus anuncios podían distribuirse mediante plataformas comerciales autorizadas.
Tras recibir información sobre los hallazgos, Google retiró a Discover-Tech de sus registros y canceló su acceso a los sistemas de intercambio publicitario a principios de octubre de 2026. IAB Europe también la retiró de su listado de proveedores durante ese periodo.
Otros intermediarios tomaron medidas. Beeswax revocó sus permisos para comprar espacios publicitarios, Eskimi bloqueó sus cuentas y dominios, mientras que Vungle, perteneciente a Liftoff, suspendió las operaciones para realizar una revisión.
Mantener el sistema operativo, el navegador y las aplicaciones actualizados ayuda a reducir la exposición a estos ataques. Las actualizaciones de seguridad y las correcciones de vulnerabilidades corrigen fallas conocidas que podrían ser aprovechadas por los atacantes, pero no garantizan protección frente a vulnerabilidades que todavía no han sido corregidas.
Los ataques documentados por Citizen Lab requerían seleccionar objetivos y utilizar herramientas especializadas. La investigación no establece que cualquier anuncio pueda instalar programas espía en todos los celulares o computadores.
Imagen: ENTER.CO / Generada con IA (ChatGPT)
