Spyware entregado por anuncios, sin hacer clic: Citizen Lab destapa un ataque real contra Al Jazeera
El laboratorio llama a la técnica “AdFection”. Los anuncios de la empresa detrás aparecieron en redes de gobiernos de más de 20 países, entre ellos México y Uruguay.
Bastaba con que el anuncio se cargara. Citizen Lab, el laboratorio de seguridad digital de la Universidad de Toronto, publicó el jueves 15 un informe que describe, según sus autores, la primera demostración técnica de un spyware mercenario instalado “sin clic” mediante publicidad dirigida en ataques reales. Los investigadores concluyeron, con alta confianza, que dispositivos de la cadena Al Jazeera fueron atacados e infectados con el spyware de la israelí Candiru.
Cómo funciona el ataque
El informe llama a la técnica “AdFection”. En su centro está Discover-Tech, una empresa con sede en Israel que se presentaba como negocio publicitario. Compraba espacios en las subastas de anuncios en tiempo real, el sistema que decide en milisegundos qué anuncio aparece en una web o una app. Al mostrarse el anuncio, el identificador publicitario y la IP del dispositivo viajaban a los servidores de la empresa. Si el aparato era el objetivo elegido, recibía un código malicioso que explotaba fallos e instalaba el spyware; el resto no recibía nada, lo que ayudaba a ocultar la operación.
Según BleepingComputer, que revisó los detalles del informe, Al Jazeera aportó pruebas de ataques contra al menos 45 dispositivos entre 2024 y 2025, y la operación publicitaria hizo 3.770 millones de pujas y ganó 442 millones de subastas entre marzo y junio de 2026. Citizen Lab subraya que mostrar un anuncio no equivale a infectar: en la mayoría de los casos, el riesgo comprobado es la elaboración de perfiles.
Dónde aparecieron los anuncios
Los investigadores encontraron anuncios de Discover-Tech en redes de gobiernos de más de 20 países, entre ellos México, Uruguay, Brasil e Italia, además de redes de la OTAN, la ONU y las instituciones de la Unión Europea (Parlamento, Comisión y Consejo). En México también hubo impresiones en la red del organismo electoral. Los anuncios se mostraron dentro de apps y webs populares, desde aplicaciones de idiomas y del tiempo hasta grandes medios. La investigación sigue abierta y se publicó junto con un análisis de la firma de seguridad publicitaria Confiant.
Tras el aviso, Google e IAB Europe sacaron a Discover-Tech de sus listas de proveedores aprobados, y Google y Beeswax le cortaron el acceso a sus sistemas de anuncios. Candiru ya figuraba en la lista de entidades sancionadas del Departamento de Comercio de Estados Unidos.
Para el usuario corriente, la lección es que el rastreo publicitario también es una puerta de entrada. Mantener el sistema y el navegador actualizados y limitar el seguimiento de anuncios en los ajustes de privacidad del móvil reduce la exposición; para periodistas, activistas y funcionarios, el informe pide investigar las redes afectadas.
