Un anuncio que se pinta en pantalla durante un segundo puede bastar para instalar un programa espía, y nadie tiene que tocarlo. Citizen Lab, el laboratorio de la Universidad de Toronto, publicó el 15 de octubre la primera demostración técnica pública de un ataque real con spyware mercenario entregado por esa vía: al menos 45 dispositivos de la cadena internacional Al Jazeera quedaron infectados con el programa de la empresa israelí Candiru entre 2024 y 2025.
La técnica se llama AdFection y el informe detalla la maquinaria: una empresa publicitaria israelí, Discover-Tech, compró los anuncios y los sirvió a destinatarios concretos, y el código dentro de cada pieza decidía al dibujarse si ese aparato merecía el siguiente paso y el exploit.
El vector rompe el modelo mental más repetido de la seguridad móvil, el de que basta con no hacer clic, no abrir adjuntos y no instalar nada raro. Si el canal de entrega es la subasta publicitaria, la víctima no decide nada en ningún momento, y la defensa se muda del comportamiento del usuario a la configuración de la red y del navegador. El propio laboratorio concluye que hoy no existe una forma segura de exponer a una persona o a una red a publicidad dirigida.
¿Qué muestran los registros que cedió Al Jazeera?
La cadena se reconstruyó con los registros de red que el grupo de televisión entregó a los investigadores, recogidos durante los meses de los ataques. Los registros muestran primero contactos con dominios de Discover-Tech, después conexiones con un servidor de validación de Candiru que comprueba si el aparato merece el siguiente paso, y por último el diálogo con el servidor de mando y control del programa espía. Esa secuencia es la que permite hablar de infección y no de coincidencia.
De uno de los equipos comprometidos se recuperó una DLL de Windows con dos servidores de mando y control incrustados. Su código repite trucos de la cadena que Citizen Lab capturó en 2021, entre ellos el secuestro de un objeto COM para persistir. Esa coincidencia sostiene la atribución a Candiru con alta confianza.
Candiru lleva años en el punto de mira. Washington la incluyó en la lista de entidades del Departamento de Comercio en noviembre de 2021, hace casi cinco años, por vender programas para espiar a periodistas y activistas, y sus activos han pasado a la estadounidense Integrity Labs según recoge el informe.
Eligiendo el objetivo en una subasta de anuncios
Cuando una aplicación o una web con publicidad se abre, el dispositivo emite una petición de subasta en tiempo real. Esa petición lleva el identificador publicitario del móvil, la dirección IP y el modelo del aparato, y varios compradores pujan por esa impresión concreta en cuestión de milisegundos. Una arquitectura pensada para vender también permite seleccionar a un individuo.
El anuncio de Discover-Tech llegaba con una etiqueta de script que apuntaba a su servidor getAd, conocido en el informe como NOAS. Al pintarse, la pieza enviaba los identificadores del usuario a esa máquina, que decidía si devolver código JavaScript o una respuesta de cero bytes. Quien operaba la plataforma de anuncios veía un creativo corriente, porque el código dañino se inyectaba después.
| Dato del informe |
Cifra |
| Pujas de Discover-Tech entre marzo y junio de 2026 |
3.770 millones |
| Subastas ganadas en ese mismo periodo |
442 millones |
| Aplicaciones Android e iOS con anuncios marcados por el atacante |
75.373 |
| Sitios web con esos mismos anuncios |
120.768 |
| Dispositivos de Al Jazeera afectados en 2024 y 2025 |
al menos 45 |
El panel de la empresa, Controlium, fijaba el destinatario por identificador de publicidad móvil, por cookie o por dirección IP, y el rastro de la firma de seguridad publicitaria Confiant completa la segunda mitad con un SDK ofuscado que negocia una clave compartida y pide instrucciones cada segundo.
Una impresión no es una infección. Citizen Lab estima que entre cientos de miles y millones de usuarios fueron dirigidos a dominios de Discover-Tech, y que no todos los anuncios llevaban carga maliciosa; lo demostrado es que la infraestructura servía para elegir e infectar objetivos.
¿Por qué basta con que el anuncio se dibuje?
Un anuncio no es una fotografía. La publicidad digital ha funcionado durante años como una invitación a que terceros ejecuten código dentro de la página o de la aplicación que muestra la pieza, con el argumento de medir impresiones y clics, y ese permiso convierte el inventario publicitario en un canal de entrega. AdFection usa ese margen sin pedir nada a la víctima: no hay enlace que pulsar ni archivo que abrir, y tampoco aparece una pantalla solicitando permisos de administrador.
Los propios investigadores avisan de que el anuncio puede pintarse en segundo plano. Bill Marczak, investigador sénior del laboratorio, lo resume así: quien cae así no nota nada raro y puede que ni llegue a ver anuncio alguno.
Tampoco es la primera vez que la publicidad aparece en un caso de espionaje. En diciembre de 2025, hace diez meses, Amnesty International documentó Aladdin, el vector con el que Intellexa instalaba Predator a partir de documentos filtrados.
Lo que frena el vector, y lo que no lo frena
La recomendación central del informe es aburrida y tiene consecuencias: bloquear los anuncios lo más arriba posible, en la puerta de la red, porque es la única medida que Citizen Lab considera viable mientras la industria no demuestre que corta todos los vectores de este tipo. Para un particular, el consejo se traduce en un bloqueador de confianza, un navegador con protección de rastreo y el identificador publicitario reiniciado cada cierto tiempo.
| Medida |
Qué corta |
Qué deja abierto |
| Bloqueador en el dispositivo |
el anuncio en el navegador |
las apps con publicidad propia y las webs sin cobertura |
| Bloqueo en DNS o pasarela |
la pieza antes de llegar al equipo |
los equipos que salen por datos móviles u otra red |
| Reiniciar el ID publicitario |
el emparejamiento entre sesiones |
la dirección IP y otras señales del aparato |
| Navegador con anti rastreo |
parte del perfilado previo |
el inventario que el sitio sigue vendiendo |
Hay tres rutinas que no aportan nada en este escenario. No hacer clic es irrelevante, porque el ataque no espera una pulsación. La ventana de incógnito tampoco sirve, ya que sigue pintando anuncios y solo evita guardar el historial local. Y confiar en que el proveedor esté certificado falló de la forma más incómoda, con Discover-Tech en las listas de aprobados de Google y de IAB Europe desde 2020 hasta 2026.
Donde sí hay margen es en los equipos de alto riesgo, esos que la NSA y CISA ya recomendaban blindar con bloqueadores desde 2018 y 2020. Citizen Lab pide que la exigencia sea obligatoria en los dispositivos públicos y que el identificador publicitario se desactive por gestión centralizada.
La puerta de red filtrando anuncios es la otra mitad de la receta, con la misma lógica que la ESMA defendió contra las webs de estafa y la decisión en manos de quien administra la red.
Una empresa certificada que no vendía publicidad
Discover-Tech se presentaba como agencia publicitaria corriente, con plataforma de compra propia (MyDSP) y presencia en intercambios de Google, Yandex y Beeswax. El informe no encontró indicios de actividad publicitaria legítima y describe la empresa como puente hacia varios vendedores de spyware, entre ellos Candiru, Bindecy e Intelos.
El consejero delegado, Dekel Boni, viene de la publicidad digital, y en el consejo se sentó entre 2020 y 2025 Eric Banoun, cofundador de Circles y Senpai Technologies. Entre 2020 y marzo de 2026 hubo además entre sus accionistas una sociedad ligada a Sara Hamou, que gestionó la red corporativa de Intellexa y fue condenada a ocho años en Grecia, con recurso pendiente.
Las reacciones llegaron antes que el informe, durante la divulgación a las empresas afectadas. IAB Europe suspendió a Discover-Tech de su lista global de proveedores el 8 de octubre, Google le cerró el acceso a sus plataformas de anuncios y activó avisos de Safe Browsing, mientras Beeswax, Eskimi y Vungle cortaban el acceso a sus sistemas.
La crítica de fondo va más allá de esta empresa. La verificación del sector consiste en que el proveedor marque una casilla en un formulario, según el informe, y los estándares de transparencia de la cadena publicitaria no se aplican de forma efectiva.
La asimetría que ninguna actualización arregla
Aquí está la parte incómoda del hallazgo. En publicidad, quien compra el espacio elige a quién le llega, y ese poder es exactamente el mismo que necesita un operador de spyware para decidir la víctima. La segmentación comercial y la selección de un periodista concreto se ejecutan con las mismas herramientas, sobre los mismos identificadores y sin que el destinatario pueda distinguir una de otra.
Mientras esa arquitectura siga igual, la carga de la prueba queda del lado equivocado. Los dispositivos de Al Jazeera se detectaron porque una red corporativa vigilaba su tráfico; un móvil personal en casa no tiene a nadie mirando. Hasta que la verificación de proveedores deje de ser un formulario y el filtrado llegue por defecto, la respuesta práctica seguirá siendo instalar el bloqueador y asumir que el anuncio es código que se ejecuta en tu equipo.
