🛡 VULNERABILIDADES 🛡

AdFection' convierte impresiones publicitarias en entrega de spyware sin clics.

⏰20 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

AdFection' convierte impresiones publicitarias en entrega de spyware sin clics.

⟫ 19/10/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

**Introducción Contextual**

En un mundo cada vez más interconectado y dependiente de la publicidad digital, la intersección entre la tecnología publicitaria y la ciberseguridad se ha vuelto crítica. Recientemente, investigadores del Citizen Lab de la Universidad de Toronto han alertado sobre una práctica alarmante: una empresa israelí, que se presenta como un negocio legítimo de publicidad digital, está facilitando a proveedores de software espía la entrega de malware de vigilancia a individuos y entidades en todo el mundo. Este fenómeno, denominado "AdFection", plantea serias preocupaciones sobre la privacidad y la seguridad de los usuarios, así como sobre la integridad del ecosistema publicitario digital. Tal actividad no solo afecta a individuos, sino que también tiene implicaciones significativas para organizaciones, gobiernos y la industria en su conjunto.

**Detalles Técnicos**

La técnica AdFection permite que infecciones de malware ocurran sin que las víctimas tengan que hacer clic en enlaces o realizar alguna acción específica. Esto convierte las impresiones de anuncios, que suelen considerarse inofensivas, en posibles plataformas de lanzamiento para ciberataques encubiertos. Según el informe del Citizen Lab, la empresa de tecnología publicitaria Discover-Tech utilizó esta técnica para ayudar al proveedor de spyware Candiru, conocido ahora como Integrity Labs, a infectar al menos 45 dispositivos pertenecientes al personal de la organización de noticias internacional Al-Jazeera. Candiru ha sido previamente incluido en la Lista de Entidades del Departamento de Comercio de EE. UU., lo que restringe su capacidad de exportación debido a sus prácticas de proporcionar spyware a gobiernos extranjeros con el fin de vigilar a individuos.

El mecanismo detrás de AdFection se basa en un proceso de puja en tiempo real que determina qué anuncios ven los usuarios en sitios web y aplicaciones móviles. Estas subastas se llevan a cabo en milisegundos mientras se carga una página o una app, exponiendo información sobre los usuarios y sus dispositivos, incluidas direcciones IP, identificadores de publicidad móvil y cookies. Los anunciantes utilizan estos identificadores para dirigir anuncios específicos a individuos, lo que puede dar lugar a la ejecución de código malicioso dentro de un navegador o aplicación. Esto crea una vía para que los operadores de vigilancia identifiquen dispositivos de interés, recopilen información sobre sus usuarios y, en última instancia, entreguen spyware cuando se muestra un anuncio dirigido.

La cadena de ataque de AdFection comienza cuando Display-Tech gana una de estas pujas y envía un anuncio a un sitio web o una aplicación que puede estar abierta en el dispositivo de un usuario. Cuando se renderiza el anuncio, una etiqueta incrustada en él contacta a un servidor controlado por Discover-Tech y proporciona información identificativa sobre el dispositivo. El servidor verifica si el dispositivo coincide con criterios de segmentación específicos, devolviendo JavaScript si es así, o una respuesta vacía si no lo es. Aunque Citizen Lab no pudo recuperar el JavaScript en sí, los registros de red proporcionados por Al-Jazeera mostraron que los dispositivos infectados contactaron la infraestructura de Discover-Tech, luego los servidores validador de Candiru y, finalmente, un servidor de comando y control de Candiru.

**Datos Factuales**

La plataforma Controlium de Discover-Tech permite a sus clientes configurar campañas para dirigirse a dispositivos específicos utilizando direcciones IP, cookies e identificadores de publicidad móvil. Según el análisis de Citizen Lab, durante un periodo de cuatro meses, Discover-Tech sirvió anuncios dirigidos a casi 200,000 sitios web y aplicaciones de Android/iOS únicos en decenas de países. Se encontró que Discover-Tech había servido anuncios en dispositivos asociados con una amplia gama de entidades gubernamentales, militares, de infraestructura crítica, medios de comunicación y agencias multilaterales en múltiples países.

Aunque las impresiones de anuncios por sí solas no confirman la segmentación o la infección, Citizen Lab subrayó el "riesgo sistémico que representa AdFection y el ecosistema publicitario", lo que justifica una investigación urgente para determinar si algún usuario en estas redes fue infectado con spyware. Además, Citizen Lab vinculó a Discover-Tech con otros actores de vigilancia, incluida la empresa de hacking mercenaria Bindecy y la compañía de inteligencia publicitaria Intelos, aunque su evidencia técnica más sólida de infecciones de spyware entregadas a través de anuncios dirigidos involucró a Candiru.

**Impacto y Consecuencias**

Los hallazgos de Citizen Lab marcan un punto de inflexión en la comprensión de cómo los actores maliciosos pueden utilizar las técnicas de publicidad digital para facilitar ataques de spyware. La investigación revela una vulnerabilidad fundamental en el sistema publicitario en línea, que ha permitido la explotación de datos de usuarios sin su consentimiento. Esto no solo pone en riesgo la privacidad individual, sino que también plantea preguntas serias sobre la ética y la responsabilidad de las empresas involucradas en la publicidad digital. La posibilidad de que los dispositivos sean identificados y atacados sin interacción del usuario pone de relieve la necesidad de una mayor regulación y supervisión en la industria.

**Contexto Histórico**

Este no es el primer caso en el que se expone el abuso de spyware por parte de actores estatales o mercenarios. En 2016, Citizen Lab informó sobre cómo el Grupo NSO había estado explotando vulnerabilidades de día cero en el software iOS de Apple para desplegar su spyware Pegasus en dispositivos de periodistas y activistas seleccionados. Más recientemente, se han reportado ataques de "cero clic" que han utilizado el spyware Pegasus contra trabajadores de derechos humanos en México y herramientas de spyware comerciales como "Paragon" para espiar a periodistas destacados. Estos incidentes reflejan una tendencia creciente en la que las herramientas de vigilancia están siendo utilizadas de manera más sofisticada y encubierta.

**Recomendaciones**

Ante la gravedad de los hallazgos, Citizen Lab ha instado a una serie de medidas de mitigación. Se recomienda que las organizaciones consideren bloquear anuncios dirigidos en sus puertas de enlace de red para reducir la exposición a ataques de AdFection. Además, se sugiere que las agencias gubernamentales implementen de manera obligatoria software de bloqueo de anuncios en todos los dispositivos de propiedad gubernamental y desactiven los identificadores de publicidad únicos en todos los dispositivos móviles del gobierno. Las acciones tomadas por Google, el Interactive Advertising Bureau (IAB) Europa y otras plataformas de tecnología publicitaria para limitar el acceso de Discover-Tech al ecosistema publicitario digital son pasos positivos, pero es esencial que se implementen medidas más robustas para proteger la privacidad de los usuarios y prevenir futuros abusos.

En conclusión, el caso de Discover-Tech y la técnica AdFection subrayan la intersección crítica entre la publicidad digital y la ciberseguridad, y la necesidad de una vigilancia más estricta para proteger a los usuarios en un entorno digital cada vez más complejo y arriesgado.

◢ VULNERABILIDADES ◣

'AdFection' Turns Ad Impressions Into Zero-Click Spyware Delivery

⟫ 19/10/2026 ⟫ Jai Vijayan

Source: Dark Reading

An Israeli company that presents itself as a legitimate digital advertising business is helping spyware vendors use targeted online ads to deliver surveillance malware to individuals and entities worldwide, researchers are warning. The technique, dubbed "AdFection" by researchers at the University of Toronto's Citizen Lab, can enable infections without victims clicking links or taking any other action, essentially turning routine ad impressions into potential launchpads for covert cyberattacks. In a recentreport, the researchers detailed how an ad-tech company called Discover-Tech allegedly used the AdFection technique to help spyware vendor Candiru infect at least 45 devices belonging to personnel at international news organization Al-Jazeera. Candiru, which now calls itself Integrity Labs, is a company that the US Department of Commerce previously placed in itsEntity Listof individuals and organizations subject to export restrictions for providing foreign governments with spyware to target individuals. Citizen Lab has a long record of investigating the abuse of commercial spyware by government agencies around the world. In 2016 for instance, it reported on how the NSO Group had beenquietly exploiting three zero-day vulnerabilitiesin Apple's iOS software to deliver its Pegasus spyware on devices belonging to select journalists and activists. More recently, Citizen Lab reportedzero-click attacksthat delivered Pegasus spyware to human rights workers in Mexico and a commercial spyware tool dubbedParagonto spy on prominent journalists. According to Citizen Lab, Discover-Tech's AdFection technique moves on from prior attack types in that it relies on a real-time bidding process that determines which ads users see on websites and in mobile apps. These auctions take place in milliseconds as a page or app loads, and can expose information about users and their devices, including IP addresses, mobile advertising IDs, and cookies. Advertisers typically use these identifiers to target individuals withtailored adsthat often can also execute code of their own within a browser or app. The capabilities create a pathway for surveillance operators to identify devices of interest, gather information about their users, and deliver spyware when a targeted ad is displayed, Citizen Lab said. The AdFection attack chain begins with Display-Tech winning one of these bids, then pushing an ad out to a website or an app that might be open on a user's device. When the ad renders, a tag embedded inside it, contacts a Discover-Tech-controlled server, and supplies identifying information about the device. The server checks whether the device matches specific targeting criteria and returns JavaScript if it does, or an empty response if it doesn't. Citizen Lab was unable to recover the JavaScript itself, but network logs that Al Jazeera supplied showed infected devices contacting Discover-Tech infrastructure, then Candiru validator servers, and ultimately a Candiru command-and-control server. Discover-Tech’s Controlium platform lets customers configure campaigns to target specific devices using IP addresses, cookies, and mobile advertising IDs, Citizen Lab said. Citizen Lab's analysis showed that over a four-month period alone, Discover-Tech served targeted ads to almost 200,000 unique websites and Android/iOS applications across dozens of countries. Citizen Lab said it found Discover-Tech served ads on devices associated with a wide range of government, military, critical infrastructure, media, and multilateral agencies across multiple countries. The ad impressions by themselves do not confirm targeting or infection, Citizen Lab stressed. But it does highlight "the systemic risk posed by AdFection and the advertising ecosystem and warrants urgent investigation to determine whether any users on these networks were infected with spyware." Citizen Lab also linked Discover-Tech to other surveillance players, including mercenary hacking firm Bindecy and advertising-intelligence company Intelos, but said its strongest technical evidence of spyware infections delivered through targeted ads involved Candiru. In addition, Citizen Lab plans to describe in a forthcoming report how another threat actor, which it tracks as Dark Cartographer, is using Discover-Tech's infrastructure to exploit weaknesses in mobile carrier systems to link device advertising IDs with phone numbers. The exploits involve WebRTC IP leaks, mobile-carrier HTTP header enrichment and so-called zero-click login mechanisms. The researchers found indications of Dark Cartographer exploitation across mobile providers in more than 30 countries. "Discover-Tech operates a platform called Controlium that enables its mercenary partners to de-anonymize, fingerprint, and automatically infect devices the moment an advertisement is rendered — a form of zero-click attack," Citizen Lab researchers wrote. The company's "mass abuse, privacy invasion, and facilitation for mercenary spyware attacks illustrates structural flaws with the online advertising system, which failed to detect or prevent the abuse documented in this report," they noted. Google, the Interactive Advertising Bureau (IAB) Europe and ad-tech platforms Beeswax, Vungle (Liftoff), and Eskimi have taken steps to cut off Discover-Tech’s access to the digital advertising ecosystem following Citizen Lab's disclosures, the report noted. Google, which collaborated with Citizen Lab, has terminated the company's access to its ad exchange platforms. IAB Europe has removed Discover-Tech from its vendor registries, Beeswax has removed it from its ad-buying platform, Eskimi has blocked the company's accounts and domains, and Vungle has paused Discover-Tech access while it conducts a review. Citizen Lab described its findings as the first technical evidence of malicious actors delivering mercenary spyware through targeted ads, without any user interaction. The researchers noted how Discover-Tech may have profiled millions of devices in its effort to help spyware operators identify potential surveillance targets. The report also raised broader concerns about the advertising industry's role in enabling surveillance. Citizen Lab noted how Discover-Tech had been embedded in the digital advertising ecosystem for years despite its known links to the spyware industry. The researchers called for stronger safeguards across the advertising industry and recommended that organizations consider blocking targeted ads at their network gateways to reduce exposure to AdFection attacks. Citizen Lab also recommended that government agencies mandatorily deploy ad-blocking software for all government-owned devices and disable unique advertising IDs on all government mobile devices.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD