Citizen Lab Detalla 'AdFection', Spyware de Cero Clic Entregado a Través de Anuncios en Línea

Investigadores de Citizen Lab han publicado un informe que detalla una técnica que denominan "AdFection", la cual describen como la primera confirmación pública de spyware mercenario de cero clic entregado a través de anuncios en línea dirigidos. El informe, publicado el 15 de octubre de 2026, identifica a una empresa israelí, Discover-Tech, como la facilitadora de estos ataques, los cuales infectaron dispositivos de la cadena de noticias Al Jazeera con spyware de Candiru.

Cómo funciona AdFection

Según Citizen Lab, el ataque explota la infraestructura de puja en tiempo real (RTB) del ecosistema de publicidad en línea. Cuando un usuario visita un sitio web o utiliza una aplicación, se realiza una subasta de anuncios. Si Discover-Tech gana la puja, se sirve un anuncio al dispositivo. El anuncio contiene un script que se conecta de nuevo a un servidor de Discover-Tech, al que se denomina "servidor NOAS".

Este servidor analiza la dirección IP del usuario y los identificadores publicitarios. Si el usuario es un objetivo, el servidor devuelve código JavaScript. "El servidor NOAS decide, aparentemente basándose en una combinación de la dirección IP de origen y los identificadores publicitarios, si el objetivo es elegible para recibir cualquier JavaScript", afirma el informe. Este código puede cargar luego otros scripts, lo que potencialmente conduce a una explotación del navegador y a la instalación de spyware. La infección ocurre sin que el usuario haga clic en el anuncio ni descargue un archivo.

Discover-Tech y Controlium

Citizen Lab identifica a Discover-Tech como un puente entre la industria de la publicidad y los proveedores de spyware mercenario. La empresa opera una plataforma llamada Controlium, que permite a los socios "desanonimizar, obtener la huella digital e infectar automáticamente los dispositivos en el momento en que se renderiza un anuncio". El informe señala que Discover-Tech aparecía en las listas de proveedores "certificados" y "aprobados" mantenidas por Google e IAB Europe hasta principios de octubre de 2026.

La investigación reveló que Discover-Tech trabajó con múltiples proveedores de vigilancia, incluidos Candiru (rebrandeado como Integrity Labs), Bindecy e Intelos. Candiru fue incluido en la lista negra por el gobierno de EE. UU. en 2021. "Discover-Tech ha aprovechado el ecosistema publicitario durante años para convertir sitios web de confianza y aplicaciones populares en una plataforma de entrega de spyware de cero clic", dijo Bill Marczak, investigador senior de Citizen Lab.

Alcance y objetivos

El análisis de cuatro mil millones de registros de puja de Discover-Tech mostró que entre marzo y junio de 2026, los anuncios de la empresa se mostraron en casi 200.000 sitios web únicos y aplicaciones para Android/iOS. Los anuncios alcanzaron redes asociadas con la OTAN, las Naciones Unidas, la Comisión Europea y varias agencias gubernamentales. Si bien Citizen Lab confirmó infecciones en Al Jazeera, señaló que otras organizaciones pueden haber sido perfiladas en lugar de infectadas.

"El riesgo de tener tu dispositivo infectado con spyware simplemente por usar un sitio web o una aplicación que muestra anuncios es un escenario de pesadilla", dijo Wolfie Christl, investigador senior de Citizen Lab. El informe destaca que los anuncios de Discover-Tech aparecieron en plataformas importantes como Yahoo, BBC y The New York Times, así como en aplicaciones como Duolingo y Grindr.

Respuesta de la industria

Tras la investigación, los principales proveedores de anuncios tomaron medidas. Google revocó el acceso de Discover-Tech a sus plataformas de intercambio de anuncios. "Tras una investigación conjunta con Citizen Lab y Confiant, Google bloqueó a Discover-Tech de nuestras plataformas publicitarias por violar sistemáticamente nuestras políticas", dijo un portavoz de Google. IAB Europe suspendió a Discover-Tech de su Lista Global de Proveedores, y Beeswax eliminó a la empresa de su plataforma.

Por qué importa

El informe AdFection demuestra un cambio significativo en el panorama de amenazas para la privacidad y la seguridad digitales. Al convertir en arma la infraestructura ubicua y confiable de la publicidad en línea, los proveedores de spyware pueden dirigirse a individuos con una discreción sin precedentes. La falta de interacción del usuario requerida para la infección hace que la capacitación tradicional en concienciación sobre seguridad sea ineficaz. El incidente subraya las deficiencias estructurales en los procesos de verificación de la industria de la tecnología publicitaria, ya que Discover-Tech operó dentro de ecosistemas de proveedores aprobados durante años mientras facilitaba el espionaje. Esto plantea preguntas urgentes sobre la seguridad de la web abierta y la necesidad de una supervisión regulatoria más estricta de los intermediarios de la tecnología publicitaria.

Fuentes (en inglés)

• citizenlab.ca: Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware - The Citizen Lab
• wired.com: ‘Nightmare Scenario’: Zero-Click Spyware Is Infecting Phones via Targeted Ads | WIRED
• ft.com: New ‘zero-click’ spyware hacked phones using targeted ads
• shattered.io: Zero-Click Spyware Ads: Citizen Lab's AdFection Report
• finance.biggo.com: Zero-Click Spyware Delivered Through Online Ads Infected Al Jazeera Devices, Researchers Say — BigGo Finance
• gigazine.net: A zero-click attack called 'AdFection,' which infects users with spyware simply by displaying online advertisements, has been confirmed. What was the attack method used by the Israeli advertising company? - GIGAZINE

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.