Publicado: octubre 16, 2026, 3:24 pm
La publicidad digital puede convertirse en una puerta de entrada para los programas espía capaces de infectar móviles y ordenadores sin que sus propietarios hagan clic en ningún anuncio. Así lo advierte una investigación de Citizen Lab, que ha identificado una campaña en la que la empresa israelí Discover-Tech habría aprovechado la infraestructura publicitaria para distribuir spyware de forma encubierta y vigilar dispositivos en distintos países, incluidos equipos vinculados a la cadena de televisión Al Jazeera.
El ataque sacaba partido de un sistema de publicidad automatizado para seleccionar dispositivos concretos y enviar anuncios maliciosos, de esta manera, cuando la publicidad se cargaba en una página web o aplicación, podía activar una cadena de infección sin que la víctima tuviera que interactuar con ella. Además, según la investigación, la operación estaba vinculada a Candiru, una empresa conocida por desarrollar programas espía, y utilizaba una plataforma llamada Controlium para identificar posibles objetivos y recopilar información sobre sus dispositivos.
Para analizar el alcance de esta actividad, Citizen Lab examinó cerca de 4.000 millones de registros publicitarios y detectó anuncios de Discover-Tech en casi 200.000 páginas web y aplicaciones durante cuatro meses. No obstante, esta cifra no significa que todos esos sitios o dispositivos estuvieran infectados, sino que formaron parte de la red publicitaria investigada. Pero, ¿cómo se seleccionaba a las víctimas?
Así funciona el ataque sin que la víctima lo detecte
La operación aprovechaba el sistema de pujas automatizadas con el que se compran espacios publicitarios en internet para mostrar anuncios en dispositivos seleccionados. Al cargarse, estos se conectaban a un servidor de Discover.Tech que decidía qué contenido enviar según el destinatario, por lo tanto, si detectaba un objetivo de interés, podía activar una cadena de ataque sin necesidad de que la víctima viera el anuncio o hiciera clic.
Además, como hemos mencionado, la compañía utilizaba la plataforma Controlium para perfilar dispositivos, relacionar identificadores publicitarios con personas y seleccionar objetivos. Así, los datos habituales del mercado publicitario podían convertirse en herramientas de vigilancia.
Por qué evitar los clics no siempre protege
Tras conocer los hallazgos, varias empresas del sector publicitario bloquearon a Discover-Tech, retiraron sus servicios de determinadas plataformas o suspendieron sus campañas. Por ende, estas medidas limitaron su actividad, aunque no descartan que puedan existir técnicas similares.
Citizen Lab subraya que aparecer en una de las casi 200.000 webs y aplicaciones analizadas no implica haber sufrido una infección. Además, el ataque dependía de identificar dispositivos concretos y activar el código malicioso desde un servidor. Por lo tanto, el caso demuestra que, ante este tipo de amenazas, evitar los clics sospechosos no siempre es suficiente para protegerse.
Este ha sido el alcance del problema
Citizen Lab analizó cerca de 4.000 millones de registros publicitarios y detectó anuncios de Discover-Tech en casi 200.000 páginas web y aplicaciones de distintos países durante cuatro meses. Además, identificó conexiones de millones de dispositivos con servidores vinculados a Candiru, lo que apunta a una posible operación de seguimiento a gran escala. Sin embargo, aparecer en estos registros o conectarse a dichos servidores no significa que un dispositivo estuviera infectado.
Por otro lado, cabe mencionar que la investigación de Citizen Lab distingue dos objetivos: recopilar datos para identificar y rastrear dispositivos y, en casos concretos, usar los anuncios para distribuir spyware.
