Investigadores del Citizen Lab de la Universidad de Toronto revelaron el peor de los escenarios posibles detectado en el mundo real: un programa espía que infecta silenciosamente mientras las personas navegan por anuncios en su día a día digital.
Bajo el nombre de "AdFection", los investigadores documentaron una campaña en la que una empresa publicitaria registrada en Israel, presuntamente vinculada a los servidores de una compañía de software espía, infectó decenas de dispositivos con malware invasivo. Según Citizen Lab, se trata de la primera evidencia técnica detallada publicada sobre un sofisticado programa espía capaz de infectar dispositivos a través de anuncios digitales.
Qué es el ataque de clic cero
Los ataques de clic cero (zero-click) son muy útiles para los atacantes porque permiten instalar malware en un dispositivo sin que la víctima tenga que hacer nada. Los hackers más sofisticados han aprovechado vulnerabilidades en aplicaciones de mensajería y comunicación para infectar dispositivos, pero también han recurrido a la extensa infraestructura de la publicidad en línea para distribuir malware, en algunos casos con una interacción mínima o inexistente por parte del usuario. La campaña de spyware de clic cero descubierta por los investigadores de Citizen Lab combina ambas amenazas y muestra hasta qué punto el ecosistema publicitario puede convertirse en una vía para infectar dispositivos de forma silenciosa.
"AdFection permite a los operadores hackear automáticamente a personas concretas con spyware mercenario mientras utilizan aplicaciones o navegan por internet. Alguien que sea hackeado de esta forma no notaría nada extraño. De hecho, es posible que ni siquiera vea ningún anuncio", afirma Bill Marczak, investigador sénior de Citizen Lab.
La situación es muy preocupante porque no hay mucho que la gente pueda hacer para protegerse de los ataques publicitarios de cero clic, salvo bloquear tantos anuncios se vean en sitios web y plataformas. "El riesgo de que tu dispositivo se infecte con software espía simplemente por abrir un sitio web o una aplicación que muestre anuncios es una auténtica pesadilla", indica Wolfie Christl, investigador sénior de Citizen Lab.
Durante 2024 y 2025, Citizen Lab concluyó que 45 dispositivos pertenecientes al medio de comunicación Al Jazeera fueron objeto de ataques de clic cero perpetrados a través de anuncios. Los investigadores afirman que los anuncios dirigidos fueron emitidos por la empresa de marketing Discover-Tech, fundada en Israel, y distribuían spyware atribuido al desarrollador israelí Candiru. Según el análisis de Citizen Lab, los dispositivos infectados entraron en contacto con dominios vinculados a Discover-Tech y, a continuación, se conectaron a una infraestructura asociada a Candiru.
Al Jazeera, que participó en la investigación y compartió los registros de los dispositivos con los investigadores de Citizen Lab, no respondió a una solicitud de comentarios.
Un nuevo ciberataque se hace pasar por actualizaciones de Zoom y Meet para infectar dispositivos
Una reunión que parecía legítima, pero escondía trampas. Así es como los ciberdelincuentes logran evadir las defensas de seguridad y vulnerar los sistemas sin levantar sospechas.
Una forma mucho más peligrosa de hackeo
"La capacidad de enviar contenido arbitrario a usuarios específicos es un rasgo característico del ecosistema moderno de la publicidad en línea, y se adapta perfectamente a la industria mercenaria del software espía. Hasta que cambie esta arquitectura, o las empresas publicitarias se tomen en serio la verificación de los clientes, seguiremos viendo este tipo de abusos", menciona Marczak.
Los correos electrónicos y mensajes enviados por WIRED a Discover-Tech y a su director general no recibieron respuesta antes de la publicación. Integrity Partners, que se cree que es propietaria de los activos de Candiru tras las sanciones impuestas por el gobierno de EE UU en 2021, tampoco respondió a las solicitudes de comentarios.
Google, que gestiona uno de los negocios publicitarios más grandes del mundo, canceló el registro de Discover-Tech tras colaborar con Citizen Lab e investigadores de la empresa de ciberseguridad Confiant y confirmar la existencia de un vínculo con el spyware. "Tras una investigación conjunta con Citizen Lab y Confiant, Google bloqueó el acceso de Discover-Tech a nuestras plataformas publicitarias por infringir sistemáticamente nuestras políticas. También hemos activado alertas de Navegación segura para ayudar a proteger a los usuarios si acceden a sitios web vinculados a este grupo", explica un portavoz de Google.
La filial europea del Interactive Advertising Bureau (IAB), un organismo del sector publicitario, confirmó a WIRED que ha suspendido a Discover-Tech de su lista global de proveedores, conocida como GVL. Según afirma, la empresa fue suspendida por IAB Europe tras una auditoría de sus políticas. "Una confirmación adicional de los hallazgos relativos al software espía también podría justificar una expulsión definitiva de la GVL", declara un portavoz de IAB Europe.
Un portavoz de Beeswax, una empresa del sector de la publicidad en línea propiedad de Comcast, afirma en un comunicado: "Beeswax eliminó a Discovery-Tech de la plataforma tras su actividad reciente y la validación independiente realizada por un especialista en seguridad externo. Mantenemos una política de tolerancia cero con la publicidad maliciosa".
A menudo, cuando ves anuncios en línea o en aplicaciones, estos se muestran tras un proceso complejo conocido como subasta en tiempo real, básicamente, una subasta automatizada en la que los anunciantes pujan para mostrarte anuncios específicos. Este proceso, que dura milisegundos, puede dar lugar a que los anunciantes recopilen enormes volúmenes de datos sobre tu dispositivo, tu ubicación y tu historial de navegación, además de mucho más. Este proceso ha sido una pesadilla para la privacidad durante años, con opacos intermediarios de datos que venden la información personal de las personas, y con organismos de las fuerzas del orden y naciones hostiles que la compran para rastrear o perseguir a personas.
Los investigadores de Citizen Lab afirman que Discover-Tech opera una plataforma publicitaria, Controlium, que permite a sus usuarios "desanonimizar, identificar e infectar automáticamente dispositivos" una vez que aparece un anuncio. En total, los investigadores estiman que millones de dispositivos fueron redirigidos a los servidores de Candiru, donde se pudo crear un perfil de ellos. Tras analizar los registros de pujas publicitarias expuestos públicamente en el sitio web de Discover-Tech, los investigadores de Citizen Lab señalan que entre marzo y junio de este año se mostraron anuncios vinculados a la empresa con etiquetas de scripts maliciosos en más de 70,000 aplicaciones móviles y más de 120,000 sitios web. Según los investigadores, varias apps mostraron más de un millón de anuncios vinculados a Discover-Tech.
No es que todos los anuncios de la empresa estuvieran necesariamente diseñados para distribuir software espía, pero los investigadores afirman que han observado impresiones publicitarias de Discover-Tech en redes gubernamentales y relacionadas con la seguridad nacional de todo el mundo. Entre ellas se incluyen redes de la OTAN y de las Naciones Unidas, así como órganos legislativos en Europa, proveedores de infraestructuras críticas en Australia, además de fuerzas armadas y organismos gubernamentales en Noruega y Suecia.
Las anteriores campañas publicitarias de cero clic que distribuyen software espía rara vez han salido a la luz pública, pero los investigadores del Citizen Lab afirman que esto es probablemente un síntoma de que la infraestructura publicitaria goza de una confianza tan amplia y está tan integrada en todos los aspectos de la vida digital sin una supervisión específica.
Software espía escondido en la publicidad
"Los registros de red de Al Jazeera fueron clave para comprender la naturaleza publicitaria de ese ataque. Si el dispositivo personal de un usuario fuera el objetivo, por ejemplo, mientras está conectado a la red WiFi de su casa o a datos móviles, no habría el mismo nivel de supervisión de la red en ese caso. Por eso creo que la falta de denuncias previas se debe a un problema de visibilidad: los defensores tienen que estar en el lugar adecuado en el momento adecuado, analizando los datos correctos", explica Marczak.
Hablando en términos generales sobre las amenazas que pueden derivarse de la enorme omnipresencia del ecosistema de la publicidad digital, Jason Kint, CEO de la organización sectorial de medios digitales Digital Content Next (de la que forma parte Condé Nast, empresa matriz de WIRED), afirma que este tipo de ataques son tanto plausibles como perjudiciales.
"Aunque son poco frecuentes y sofisticados, no me sorprendería del todo enterarme de ataques de cero clics a través de anuncios. Cualquier cosa que vaya directamente en contra de las expectativas de los usuarios o que merme la confianza en la web abierta resulta profundamente preocupante", concluye Kint.
Artículo originalmente publicado en WIRED.com. Adaptado por Alondra Flores.
