Anuncios en apps instalaban software espía sin un clic, revela Citizen Lab

Un anuncio en línea puede llevar algo más que una imagen. También puede transportar código, y ahora investigadores de Citizen Lab, de la Universidad de Toronto, demostraron que ese código se usaba para instalar spyware en el dispositivo de una persona elegida sin que esta tuviera que tocar nada. El laboratorio llama a la técnica AdFection. Quien sufriera un ataque así «no notaría nada raro», le dijo a Wired el investigador sénior Bill Marczak. «De hecho, quizá ni siquiera vería un anuncio».

Esto importa para cualquiera que tenga el celular lleno de aplicaciones gratuitas. Hasta ahora, los ataques de clic cero se habían llevado a cabo sobre todo aprovechando fallas en aplicaciones de mensajería, que las empresas pueden corregir. Este ataque, en cambio, se colaba por el mecanismo habitual que decide qué anuncio mostrarte: una subasta que se realiza en una fracción de segundo cada vez que se carga una aplicación o una página web y que ya comparte el identificador publicitario de tu dispositivo, tu dirección IP y detalles sobre tu teléfono.

En el centro de todo está Discover-Tech, una empresa registrada en Israel que se presentaba como compañía de publicidad. Según el informe, su plataforma, Controlium, permitía a sus clientes elegir a una persona específica mediante su identificador publicitario, una cookie del navegador o su dirección IP, y enviar código a ese dispositivo en cuanto se mostraba un anuncio. A todos los demás les aparecía un anuncio normal. Citizen Lab vincula, con un alto grado de confianza, una serie de ataques contra la cadena de noticias Al Jazeera con Candiru, una empresa de spyware que ahora se llama Integrity Labs. Se atacaron al menos 45 dispositivos dentro de la cadena, y un equipo con Windows infectado reveló un archivo que apuntaba a los servidores de Candiru.

La forma en que los investigadores lograron entrar es casi graciosa. La página de inicio de sesión de Controlium incluía el código fuente completo de su propio panel de control, así que el equipo guardó la página, cortó sus conexiones con servidores externos y activó todas las pantallas. Además, un servidor de Discover-Tech dejó expuestos casi cuatro mil millones de registros de pujas publicitarias. Estos muestran anuncios con la etiqueta de script del atacante en 75,373 aplicaciones para Android y iOS, y en 120,768 sitios web. Aparecen nombres conocidos: la aplicación de mensajería Viber mostró más de 700,000 de esos anuncios en Android, que también aparecieron en Yahoo Mail, Opera Mini y Duolingo.

Es importante interpretar esas cifras con cuidado. Que aparezca un anuncio de Discover-Tech en tu pantalla no significa que hayan hackeado tu teléfono, recalca el laboratorio. En la mayoría de los casos, su servidor no enviaba ningún código, y los datos de las pujas abarcan solo una de las plataformas publicitarias de la empresa durante cuatro meses. Citizen Lab no ha dicho qué gobiernos pagaron por la operación contra Al Jazeera, y el hallazgo de que los anuncios llegaron a redes de la OTAN, las Naciones Unidas y varias instituciones europeas demuestra su alcance, no que se hayan producido infecciones confirmadas. En Noruega, los anuncios llegaron a las redes del parlamento y la policía; en Suecia, a las de las fuerzas armadas y el operador de la red eléctrica nacional. Las medidas de protección al alcance de la gente común son poco sofisticadas. El consejo de Marczak para cualquiera que pudiera ser un objetivo «por quién eres o por lo que haces» es desactivar el seguimiento publicitario o bloquear todos los anuncios.

La industria publicitaria ya empezó a reaccionar. Google dice que bloqueó a Discover-Tech en sus plataformas publicitarias después de una investigación conjunta con Citizen Lab y la empresa de seguridad Confiant, y que añadió advertencias de Safe Browsing para los sitios web vinculados al grupo. IAB Europe suspendió a la empresa de su lista de proveedores de publicidad aprobados, y Beeswax, propiedad de Comcast, la retiró de su plataforma. Discover-Tech no respondió a Wired ni a TechCrunch.

Citizen Lab publicó el informe el 15 de octubre de 2026. Este aborda los ataques contra Al Jazeera en 2024 y 2025, así como datos de pujas recopilados entre marzo y junio de 2026. El laboratorio publicará un segundo informe sobre otro grupo, al que llama DARK CARTOGRAPHER, que, según afirma, usó la misma infraestructura para relacionar los identificadores publicitarios de los teléfonos con sus números mediante fallas de seguridad en operadores móviles de más de 30 países.

Marczak considera que Discover-Tech «seguramente es apenas la punta del iceberg». Su equipo no tuvo que buscar mucho para encontrar sus anuncios. Les aparecieron en sus propias pantallas mientras leían los sitios web de CBC y Yahoo y jugaban Sudoku en Android.

Etiquetas: ciberseguridad, AdFection, Candiru, Citizen Lab, Discover-Tech, publicidad en línea