🛡 MALWARE 🛡

Senadores advierten que los anuncios dirigidos son un riesgo de seguridad; grupos publicitarios afirman que las críticas son infundadas.

⏰26 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Senadores advierten que los anuncios dirigidos son un riesgo de seguridad; grupos publicitarios afirman que las críticas son infundadas.

⟫ 23/10/2026 ⟫ Tim Starks

Fuente: CyberScoop

**La Publicidad Dirigida como Vector de Infección Spyware: Un Llamado a la Revisión de Prácticas en la Industria**

En un contexto donde la privacidad y la seguridad digital son temas de creciente preocupación, dos senadores estadounidenses han señalado que las recientes revelaciones sobre el uso de la publicidad online como vector para infecciones de spyware resaltan la urgente necesidad de mejorar las prácticas de seguridad en la industria publicitaria. Este asunto no solo afecta a los usuarios individuales, sino que también plantea un riesgo significativo para entidades gubernamentales y corporaciones, lo que subraya la importancia de una regulación más estricta en este ámbito.

El informe elaborado por Citizen Lab de la Universidad de Toronto, en colaboración con la firma de ciberseguridad y tecnología publicitaria Confiant, ha puesto de manifiesto una técnica denominada AdFection, que permite que anuncios dirigidos transmitan spyware mercenario sin que el usuario tenga que hacer clic en ellos. Este enfoque representa una amenaza considerable, ya que implica que los sistemas pueden ser comprometidos sin la intervención activa del usuario, lo que hace que la detección y mitigación de estas amenazas sea aún más compleja.

El informe de Citizen Lab enfatiza que "los proveedores de publicidad deben elevar significativamente su capacidad de ciberseguridad y detección de amenazas para cortar de manera efectiva a los anunciantes maliciosos a lo largo de la cadena de suministro". La investigación concluye que es esencial que estas empresas realicen auditorías rigurosas y regulares de sus socios comerciales, manteniéndolos responsables de sus propias cadenas de suministro. Esta demanda se alinea con la creciente presión sobre la industria para adoptar medidas más robustas que protejan a los usuarios de las amenazas emergentes.

En 2023, los senadores demócratas Ron Wyden de Oregón y Cory Booker de Nueva Jersey introdujeron una legislación destinada a prohibir que las redes publicitarias y facilitadores utilicen datos personales para la segmentación de anuncios. No obstante, esta legislación no avanzó más allá de su presentación inicial. Ambos senadores han afirmado que el informe de Citizen Lab ilustra la necesidad de una reforma en la industria publicitaria. "El informe subraya el creciente riesgo del spyware y los métodos cada vez más sofisticados utilizados para rastrear y dirigir a las personas en línea", declaró Booker en una comunicación a CyberScoop.

La amenaza que representa la publicidad online dirigida para los dispositivos gubernamentales es de particular preocupación para Wyden, quien ha expresado sus inquietudes en cartas dirigidas a diversas agencias gubernamentales. En sus declaraciones, Wyden ha calificado a la tecnología publicitaria como una amenaza a la seguridad nacional, haciendo hincapié en que los anuncios de Discover-Tech, la empresa más vinculada a la técnica AdFection, han logrado impresiones en redes gubernamentales. "Permitir anuncios dirigidos en dispositivos gubernamentales es una invitación abierta a espías y criminales. Es el equivalente digital de dejar todas las puertas y ventanas desbloqueadas en una instalación gubernamental sensible", afirmó.

La incapacidad de las plataformas publicitarias para proteger adecuadamente a los usuarios contra el malware y el rastreo de localización es un argumento que Wyden ha esgrimido para instar al gobierno a desactivar los anuncios en los navegadores gubernamentales y detener el uso de identificadores de anuncios móviles. "El último informe de Citizen Lab es un recordatorio impresionante de que este sector simplemente no puede ser confiado para priorizar la seguridad de los usuarios por encima de las ganancias", agregó.

Diversas agencias de Estados Unidos han tomado medidas para bloquear anuncios debido a las amenazas que representan, o han recomendado su bloqueo para empleados federales. Discover-Tech apareció en listas de proveedores "certificados" y "aprobados" mantenidas por Google y la asociación de la industria publicitaria IAB Europe. Mientras que Google colaboró en el informe, IAB Europe no respondió hasta después de su publicación. Según el informe, Google, IAB Europe y las redes publicitarias Beeswax, Vungle y Eskimi han tomado medidas para eliminar el acceso de Discover-Tech al ecosistema publicitario digital. Sin embargo, algunas otras plataformas no respondieron a Citizen Lab, incluyendo Microsoft, que posee el sistema publicitario Xandr, y que tampoco ofreció comentarios a CyberScoop.

El informe de Citizen Lab concluyó que la industria publicitaria muestra una "peligrosa falta de diligencia debida" y criticó la "infraestructura digital fallida", al tiempo que señaló que el sector necesita "tomarse en serio" la seguridad. Se destacó la necesidad de que los proveedores de publicidad compartan mejor los datos de amenazas, mejoren la evaluación de sus socios, auditen los registros de proveedores y prohíban a los proveedores por defecto en jurisdicciones conocidas por permitir abusos.

En respuesta a las preguntas de CyberScoop sobre estas conclusiones, un portavoz de Google afirmó: "Prohibimos Discover-Tech durante una investigación conjunta con Citizen Lab y Confiant. Durante ese trabajo, bloqueamos continuamente anuncios maliciosos para ayudar a las personas a mantenerse protegidas mientras desmantelamos la red". Google también afirmó que sus equipos de seguridad y sistemas bloquearon continuamente anuncios individuales perjudiciales de Discover-Tech, pero que la prohibición total de la plataforma requería pruebas de que su infraestructura publicitaria estaba vinculada al spyware.

Por su parte, IAB Europe ofreció una respuesta más específica, indicando que "los hallazgos no demuestran que la infraestructura publicitaria digital esté rota, sino que apuntan al posible mal uso de tecnologías y funcionalidades existentes que no son específicas de la publicidad digital, sino inherentes a las tecnologías web". La directora de marketing y comunicaciones de la asociación, Lauren Wakefield, añadió que "la investigación de actividades potencialmente ilegales, como la implementación de spyware, recae en última instancia en las autoridades competentes".

El informe de Citizen Lab también insta a los reguladores a tomar medidas, incluyendo la realización de una investigación sobre Discover-Tech y la firma de spyware Candiru, que infecta a los usuarios a través de anuncios en línea de Discover-Tech. Se sugiere que las autoridades deben examinar más de cerca el ecosistema publicitario para determinar si otras empresas lo están utilizando para espionaje y entrega de spyware, así como si han violado leyes y regulaciones aplicables.

"Prevenir el fraude y otras formas de abuso ya es una prioridad continua en todo el ecosistema publicitario digital, y IAB Europe apoya los esfuerzos de la industria para invertir en tecnologías, procesos y salvaguardias para identificar y mitigar riesgos de ciberseguridad", continuó Wakefield. "Esperamos que este informe se vea como una oportunidad para reevaluar y mejorar los enfoques existentes en ciberseguridad. Es importante reconocer que los requisitos y medidas de ciberseguridad deben ser proporcionales a los riesgos y circunstancias de cada empresa individual, lo que es la razón por la que las recomendaciones universales pueden no ser siempre apropiadas".

La discusión sobre la seguridad en la publicidad digital no solo es pertinente, sino que también es fundamental en un mundo donde la tecnología avanza más rápido que la capacidad de las regulaciones para adaptarse. La industria publicitaria debe enfrentarse a estos desafíos con seriedad y adoptar medidas proactivas para proteger tanto a los usuarios como a sus propios intereses a largo plazo.

◢ MALWARE ◣

Senators say targeted ads are a security risk. Ad groups say the critics are off base.

⟫ 23/10/2026 ⟫ Tim Starks

Source: CyberScoop

Two senators say that revelations about online targeted advertising being used as a vector for spyware infections underscore the need for better security practices in the industry. Some members of the advertising industry that were subjects of the report, meanwhile, think their practices are up to the task. The Citizen Lab at the University of Toronto, in partnership with the cybersecurity and ad-tech firm Confiant, last week publisheda reporton AdFection, a technique whereby targeted ads were delivering zero-click mercenary spyware. “Ad vendors must significantly level up their cybersecurity and threat detection capacity to effectively cut off malicious advertisers across the supply chain,”The Citizen Lab report states. “They must rigorously and regularly vet, screen, and audit their business partners and hold them accountable for their own supply chains.” In 2023, Democratic Sens. Ron Wyden of Oregon and Cory Booker of New Jerseyintroduced legislationto ban advertising networks and facilitators from using personal data to target, but the legislation never advanced past introduction. Both said The Citizen Lab report illustrated the need for industry reform. “The report underscores the growing risk of spyware and the increasingly sophisticated methods used to track and target people online,” Booker said in a statement to CyberScoop. “Americans need vastly stronger privacy protections that stay ahead of these evolving surveillance threats.” The security threat of targeted online advertising to government devices is ofparticular concern to Wyden, with hisletters to government agenciescited in the report. Wyden has called adtech anational security threat. Ads from Discover-Tech, the company most linked to AdFection, got impressions on government networks. “Allowing targeted ads on government devices is an open invitation to spies and criminals. It’s the digital equivalent of leaving all the doors and windows unlocked at a sensitive government facility,” he said in a statement to CyberScoop. “It’s clear that advertising exchanges are not meaningfully protecting users against malware and location tracking, which is why I’ve been urging the government to disable ads on government browsers and turn off mobile ad IDs, and have pushed my bill to ban all targeted advertising,” he continued. “The latest Citizen Lab report is an impressive reminder that this sector simply cannot be trusted to put users’ security ahead of profits.” A number of U.S. agencies havetaken stepstoblock adsdue to the threats they pose, orrecommended blocking themfor feds. Discover-Tech appeared on lists of “certified” and “approved” vendors that Google and the advertising industry association IAB Europe maintained. Google participated in the report, but IAB Europe didn’t respond to it untilafter publication. Both provided additional comments to CyberScoop. Google and IAB Europe, and the ad networks Beeswax, Vungle and Eskimi all took steps to remove Discover-Tech’s access to the digital advertising ecosystem, according to the report. A mix of other ad systems replied to The Citizen Lab, but some did not, including Microsoft, which owns the ad system Xandr. Microsoft also didn’t respond to requests for comment from CyberScoop. The Citizen Lab report concluded that the advertising industry displayed “a dangerous lack of due diligence” and criticized “broken digital infrastructure,” while also saying that the sector needed to “get serious” about security. It said ad vendors needed to better share threat data, improve vetting of partners, audit vendor registries and ban vendors by default in jurisdictions known to be permissive of abuse. In response to questions from CyberScoop about those conclusions, a Google spokesperson provided a statement. “We banned Discover Tech during a joint investigation with Citizen Lab and Confiant,” the spokesperson said. “Throughout that work, we continuously blocked malicious ads to help people stay protected while we dismantled the network.” Google said that its safety teams and systems continuously blocked individual bad ads from Discover-Tech, but banning them entirely from the platform required proof that their ad infrastructure was linked to spyware. The company also said it regularly audits participants in its Authorized Buyer program, as well as deploying “multi-layered defenses to stop bad ads,” and that its automated systems detected over 99% of policy-violating ads before reaching users last year. IAB Europe responded more specifically. “The findings do not demonstrate that the digital advertising infrastructure is broken, but rather point to the potential misuse of existing technologies and functionalities that are not specific to digital advertising but inherent to web technologies,” said Lauren Wakefield, marketing and communications director for the association. “While the industry continuously invests in improving security and safeguards against fraud and other forms of misuse, the investigation of potentially unlawful activities, such as the deployment of spyware, ultimately falls within the remit of competent authorities.” The Citizen Lab report also urges regulators to take action, including conducting an investigation of Discover-Tech and the spyware firm Candiru, which infect users through Discover-Tech online ads; “more closely scrutinize the advertising ecosystem to determine whether other companies are leveraging it for espionage and spyware delivery, and determine whether they have violated applicable laws and regulations;” and pursue sanctions against mercenary spyware firms and the companies that enable them. “Preventing fraud and other forms of misuse is already an ongoing priority across the digital advertising ecosystem, and IAB Europe supports industry efforts to invest in technologies, processes and safeguards to identify and mitigate cybersecurity risks,” Wakefield continued. “We hope this report will be seen as an opportunity to reassess and improve existing approaches to cybersecurity. It is important to recognise that cybersecurity requirements and measures must be proportionate to the risks and circumstances of each individual company, which is why one-size-fits-all recommendations may not always be appropriate.” The postSenators say targeted ads are a security risk. Ad groups say the critics are off base.appeared first onCyberScoop.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD