**La entrega de spyware a través de anuncios: el caso de Al Jazeera y la técnica AdFection**
La ciberseguridad es un tema cada vez más relevante en la actualidad, afectando a individuos, organizaciones y gobiernos en todo el mundo. Recientemente, un estudio realizado por Citizen Lab ha desvelado una técnica alarmante utilizada para propagar spyware mercenario a dispositivos de Al Jazeera. Este hallazgo no solo pone en evidencia las vulnerabilidades en los sistemas de publicidad en línea, sino que también subraya la creciente sofisticación y peligrosidad de las amenazas cibernéticas en el contexto de la vigilancia digital.
La investigación de Citizen Lab, en colaboración con la empresa de seguridad publicitaria Confiant, ha identificado un método conocido como AdFection. Este procedimiento es el primer reconocimiento técnico público de la entrega de spyware mercenario a través de anuncios dirigidos que no requieren clics por parte del usuario. Esta modalidad permite que el spyware sea instalado silenciosamente en los dispositivos, lo que representa un desafío significativo para la protección de la privacidad y la seguridad de la información.
De acuerdo con los datos recopilados, al menos 45 dispositivos de Al Jazeera fueron blanco de esta campaña de ataques en el periodo comprendido entre 2024 y 2025. Los registros de red analizados por Citizen Lab mostraron que los dispositivos afectados se conectaron inicialmente a una infraestructura operada por la empresa israelí Discover-Tech, para luego enlazar con servidores asociados al spyware de Candiru. Candiru, también conocido por su nombre alternativo Integrity Labs, se especializa en el desarrollo de software de vigilancia capaz de extraer mensajes, correos electrónicos y fotografías, además de acceder a funciones del micrófono y otros componentes del dispositivo.
Discover-Tech operaba una plataforma conocida como Controlium, que permitía a sus clientes introducir identificadores asociados a los objetivos, como direcciones IP o identificadores de publicidad móvil. Esta plataforma facilitaba la compra de espacio publicitario a través de servicios conectados a grandes empresas de publicidad como Google, Yandex, Beeswax, Vungle y Eskimi. El proceso de licitación continuaba hasta que un anuncio alcanzaba el dispositivo seleccionado.
Una vez que el anuncio se cargaba en el dispositivo, un código JavaScript incrustado contactaba con un servidor de Discover-Tech denominado NOAS. La mayoría de los dispositivos no recibían código adicional, aunque el anuncio podía seguir recopilando información como cookies y la dirección IPv6 pública del dispositivo. Si un dispositivo era seleccionado para el ataque, podía ser redirigido a un servidor de validación de Candiru, que confirmaba si se trataba del objetivo deseado y si había un exploit adecuado disponible. Este proceso de entrega de spyware podía iniciarse sin que la persona hiciera clic o incluso se percatara de la existencia del anuncio, que podía cargarse en segundo plano.
La investigación de Citizen Lab reveló que se recuperaron cerca de cuatro mil millones de registros de pujas publicitarias de los sistemas de Discover-Tech que eran accesibles públicamente. Los registros que abarcan desde marzo hasta junio de 2026 mostraron que los anuncios de la compañía aparecieron en más de 120,000 sitios web y más de 75,000 aplicaciones para Android e iOS. Confiant estimó, por separado, que Discover-Tech estaba sirviendo alrededor de 10 millones de anuncios cada día. Su informe técnico encontró una extensa recopilación de direcciones IP, información del navegador, identificadores publicitarios y cookies.
Los análisis de Confiant indicaron que las transferencias relacionadas con Candiru se registraron en solo cientos a miles de impresiones publicitarias por día en su conjunto de datos, lo que representa una pequeña fracción del tráfico diario estimado de Discover-Tech. Los anuncios de Discover-Tech fueron detectados en redes pertenecientes a organizaciones relevantes como la OTAN, las Naciones Unidas, el Parlamento Europeo y diversas agencias gubernamentales europeas. Además, se registraron impresiones en redes utilizadas por empresas como Raytheon, Westinghouse, Intel, Nvidia, Apple, Microsoft y ARM. También se encontraron indicios de que los anuncios aparecieron en redes utilizadas por el Departamento de Defensa de EE. UU., la Agencia Internacional de Energía Atómica y la Corte Penal Internacional.
Es importante señalar que, aunque una impresión publicitaria confirma que un anuncio de Discover-Tech alcanzó la red, no implica necesariamente que un empleado haya sido objetivo o que un dispositivo haya sido infectado. Citizen Lab advirtió que se requerirían investigaciones separadas para determinar si alguna de estas organizaciones sufrió ataques de spyware.
En respuesta a estas revelaciones, Google colaboró con los investigadores y terminó el acceso de Discover-Tech a sus intercambios publicitarios. IAB Europe excluyó a la empresa de su registro de proveedores, mientras que Beeswax la retiró de su plataforma de compra. Por su parte, Liftoff, propietario de Vungle, suspendió el acceso de Discover-Tech a la espera de una revisión, y Eskimi bloqueó sus cuentas y dominios. A la hora de publicar este informe, Microsoft Advertising y Sunteng no habían respondido a las preguntas planteadas por Citizen Lab, y Discover-Tech no había emitido una respuesta pública a las acusaciones.
Dado el contexto de este ataque, Citizen Lab recomienda bloquear anuncios y sistemas de seguimiento en las puertas de enlace organizacionales y en dispositivos de trabajo. Las empresas que utilizan gestión de dispositivos móviles también pueden desactivar o restringir los identificadores publicitarios y la publicidad personalizada. Para aquellos en mayor riesgo de vigilancia dirigida, se aconseja el uso de un bloqueador de contenido de buena reputación, restringir el seguimiento publicitario y mantener actualizados los navegadores y sistemas operativos. Si bien bloquear anuncios puede eliminar esta vía de entrega, no ofrece protección contra todos los métodos utilizados por los operadores de spyware mercenario.
Este caso pone de relieve no solo la vulnerabilidad de las plataformas publicitarias a la explotación, sino también la importancia de una mayor regulación y medidas de seguridad en el ámbito de la publicidad digital, donde la privacidad de los usuarios está en juego. La naturaleza insidiosa de la vigilancia digital exige que tanto las organizaciones como los individuos sean cada vez más proactivos en la defensa de su privacidad y seguridad en línea.