Un anuncio que aparece en una página de noticias, una app de idiomas o una red social ya no sería solo publicidad: según una investigación del Citizen Lab, de la Universidad de Toronto, podría ser la puerta de entrada silenciosa a un sistema de espionaje estatal. El informe describe una técnica bautizada como AdFection, que permitiría infectar dispositivos con spyware en el momento en que se muestra un anuncio, sin que la víctima haga clic, descargue un archivo o abra un mensaje.
La revelación marca un cambio preocupante en la ciberseguridad: la infraestructura publicitaria, diseñada para llegar a millones de personas con precisión, habría sido utilizada como un conducto para vigilancia dirigida.
Qué es el spyware de cero clic
El spyware de cero clic es un software espía capaz de instalarse o ejecutarse en un dispositivo sin interacción del usuario. A diferencia de un phishing clásico, donde la víctima debe abrir un enlace o descargar un adjunto, aquí el ataque se activa cuando el anuncio se renderiza en pantalla.
Según Citizen Lab, la plataforma Controlium, operada por la empresa israelí Discover-Tech, habría permitido a sus socios de vigilancia desanonimizar usuarios, tomar la huella digital de sus dispositivos e infectarlos automáticamente cuando se mostraba un anuncio.
En términos simples: el usuario ve una publicidad aparentemente normal; en segundos, el sistema identifica el dispositivo y, si coincide con un objetivo, intenta instalar spyware. La víctima no percibe ningún aviso, descarga ni interacción sospechosa.
Cómo funciona la técnica AdFection
La investigación explica que Discover-Tech se presenta como una compañía publicitaria legítima, pero habría funcionado como un puente entre las redes de publicidad digital y el ecosistema de spyware mercenario. Su plataforma Controlium permitiría a operadores de vigilancia seleccionar objetivos y enviarles anuncios con código malicioso.
El proceso funcionaría en varias etapas:
- Perfilamiento masivo: los sistemas publicitarios recopilan señales técnicas y de comportamiento que permiten identificar dispositivos y usuarios.
- Desanonimización: esos datos se cruzan para asociar un dispositivo con una persona o institución concreta.
- Fingerprinting: se genera una huella digital única del equipo, navegador, sistema operativo y conexión.
- Entrega dirigida: el anuncio malicioso se muestra solo al objetivo seleccionado.
- Infección silenciosa: el spyware intenta comprometer el dispositivo apenas se renderiza el anuncio.
Citizen Lab afirma que esta es la primera confirmación técnica pública de un ataque con spyware mercenario de cero clic entregado mediante publicidad segmentada.
Al Jazeera: el caso que evidenció el ataque
El caso más contundente involucra a la cadena catarí Al Jazeera. Los investigadores encontraron que al menos 45 computadoras Windows de periodistas y personal del medio fueron atacadas entre 2024 y 2025 mediante spyware atribuido a Candiru, una empresa israelí de vigilancia.
Los dispositivos habrían sido expuestos a anuncios cargados con código malicioso distribuido a través de la plataforma de Discover-Tech. Citizen Lab vinculó los ataques con alta confianza a Candiru, aunque no identificó públicamente qué gobiernos estuvieron detrás de las operaciones.
El hallazgo es especialmente grave porque afectó a periodistas, un colectivo frecuentemente vigilado por su trabajo de investigación y denuncia. El Comité para la Protección de los Periodistas destacó que al menos 45 dispositivos de Al Jazeera fueron blanco de esta campaña.
Una red publicitaria con alcance global
La escala del sistema es uno de los aspectos más alarmantes. Citizen Lab y la empresa de seguridad publicitaria Confiant analizaron miles de millones de registros de subastas publicitarias y determinaron que los anuncios de Discover-Tech aparecieron en decenas de miles de sitios web y aplicaciones móviles entre marzo y junio de 2026.
Los registros habrían mostrado presencia publicitaria en dispositivos vinculados a militares, gobiernos, infraestructura crítica y agencias nacionales de ciberseguridad. No está claro si esos casos terminaron en infecciones, pero demuestran que la red podía alcanzar entornos de alto valor estratégico.
Confiant también encontró evidencia de anuncios potencialmente maliciosos en dispositivos conectados a redes de la Agencia Internacional de Energía Atómica y de la Corte Penal Internacional.
Por qué los anuncios son un arma ideal
Las redes publicitarias son atractivas para operadores de espionaje porque fueron diseñadas para segmentar audiencias con enorme precisión: ubicación aproximada, tipo de dispositivo, sistema operativo, navegador, intereses, aplicaciones instaladas y hasta patrones de navegación.
Esa misma capacidad de segmentación puede convertirse en una herramienta de selección de víctimas. En lugar de enviar un enlace de phishing a un periodista, un activista o un funcionario, un atacante puede comprar espacio publicitario y configurarlo para que solo se muestre ante el dispositivo objetivo.
El malvertising no es nuevo, pero su uso para entregar spyware gubernamental de cero clic representa una escalada: ya no se trata de estafas o redirecciones, sino de vigilancia de alta capacidad con posible respaldo estatal.
Quiénes están detrás
Citizen Lab identificó a Discover-Tech como la empresa que operaba Controlium y a Candiru y Bindecy como fabricantes de spyware que habrían usado la plataforma. Candiru, reportadamente adquirida por Integrity Labs, fue incluida en 2021 en una lista negra del Departamento de Comercio de Estados Unidos por sus actividades de vigilancia.
Los investigadores no determinaron qué gobiernos encargaron o se beneficiaron de los ataques. Sin embargo, el informe sostiene que el sistema permitía a actores estatales o vinculados a Estados hackear objetivos con precisión casi quirúrgica.
Cómo protegerte
Para la mayoría de las personas, el riesgo de ser objetivo de espionaje estatal es bajo. Pero para periodistas, activistas, abogados, políticos, investigadores y empleados de instituciones sensibles, la exposición puede ser real. Bill Marczak, investigador senior de Citizen Lab, recomendó desactivar el seguimiento publicitario y, en casos de alto riesgo, bloquear anuncios por completo.
Algunas medidas prácticas incluyen:
- Usar bloqueadores de anuncios confiables en navegadores de escritorio y móvil.
- Desactivar el seguimiento publicitario y limitar los identificadores de publicidad en iOS y Android.
- Mantener el sistema operativo, navegador y aplicaciones actualizados.
- Evitar instalar aplicaciones de fuentes no oficiales.
- Revisar permisos de aplicaciones y eliminar software innecesario.
- En contextos de alto riesgo, usar dispositivos y perfiles de navegación separados para trabajo sensible.
El problema de fondo
El caso AdFection expone una paradoja de internet moderno: la publicidad digital promete relevancia y personalización, pero esa misma infraestructura puede ser reutilizada para vigilar, identificar y atacar personas.
La lección no es solo que los anuncios pueden contener malware. Es que la economía de datos que sostiene la publicidad programática ofrece a actores de vigilancia una vía discreta, escalable y difícil de detectar para llegar a sus objetivos.
Mientras las plataformas publicitarias no refuercen sus controles de seguridad y auditoría, un banner inofensivo podría convertirse, para ciertos usuarios, en el inicio de una operación de espionaje.
