AdFection: Citizen Lab descubre software espía distribuido mediante anuncios

Citizen Lab, un grupo de investigación de la Universidad de Toronto, dice que una empresa israelí usó anuncios en línea dirigidos para hacer llegar software espía a personas elegidas sin un solo clic. Su informe, publicado el 15 de octubre de 2026, llama a la técnica AdFection. Es la primera demostración técnica pública de software espía mercenario distribuido a través de anuncios, informa CyberScoop. Software espía mercenario significa herramientas comerciales de hackeo vendidas a clientes que pagan. El hallazgo convierte los espacios publicitarios corrientes de sitios web y aplicaciones en una vía de ataque.

Cómo funciona AdFection

La empresa, Discover-Tech, compró espacio publicitario mediante subastas de anuncios normales, según el informe de Citizen Lab. Sus anuncios llevaban un pequeño script que funcionaba en cuatro pasos:

1. Identificar a quien ve el anuncio. El script enviaba el identificador de publicidad y la dirección IP del dispositivo a un servidor de Discover-Tech. Un identificador de publicidad es el código de seguimiento que un navegador o un teléfono comparte con las empresas de publicidad.
2. Elegir objetivos. El servidor comprobaba cada identificador y cada dirección. Quien no estaba en la lista recibía una respuesta vacía.
3. Ejecutar código. Los objetivos elegidos recibían JavaScript que se ejecutaba automáticamente. No hacía falta ningún clic.
4. Pasar el relevo. Después, los dispositivos infectados contactaban con servidores vinculados a Candiru, un fabricante de software espía que ahora opera con la marca Integrity Labs.

Discover-Tech mantuvo el código malicioso fuera del alcance de las empresas de publicidad a las que compraba, según el informe. Vendía el servicio a través de una plataforma llamada Controlium. Según CyberScoop, Controlium permite a sus socios «desanonimizar, identificar mediante huella digital e infectar automáticamente dispositivos» cuando aparece un anuncio.

Quiénes fueron objetivo

Citizen Lab vincula al menos 45 dispositivos de Al Jazeera, la cadena de noticias, con software espía de Candiru distribuido de esta forma en 2024 y 2025. Las fuentes difieren en el detalle. TechCrunch informa de que 45 ordenadores con Windows fueron hackeados. Citizen Lab dice que los dispositivos fueron objetivo de ataques, y que analizó un archivo de Windows de un dispositivo comprometido.

Citizen Lab todavía no puede decir quién ordenó los ataques, informa CyberScoop.

Confiant, una empresa de seguridad publicitaria, llevó a cabo su propia investigación junto a Citizen Lab. Encontró indicios de anuncios de Discover-Tech en redes sensibles, entre ellas las del Departamento de Defensa de Estados Unidos, el Organismo Internacional de Energía Atómica y la Corte Penal Internacional. Ver un anuncio no significa que un dispositivo se haya infectado, señala Citizen Lab.

Hasta dónde llegaron los anuncios

El equipo de investigación obtuvo datos de pujas de MyDSP, una de las plataformas de compra de anuncios que usaba Discover-Tech. Entre marzo y junio de 2026, los datos muestran:

Medida	Cifra
Pujas por anuncios realizadas	3.770.286.576
Pujas ganadas	441.954.291 (11,7 %)
Sitios web alcanzados	120.768
Aplicaciones móviles alcanzadas	75.373
Proporción de pujas dentro de aplicaciones	76,7 %
Gasto aproximado	109.091 dólares

El tráfico de MyDSP procedía sobre todo de la plataforma de intercambio publicitario de Yandex (67,4 %), de Google Ad Manager (24,74 %) y de Vungle (7,24 %), según el informe.

Parte del propio sistema de Discover-Tech quedó abierta, informa TechCrunch. El equipo de investigación pudo descargar sin contraseña registros de inicio de sesión de cuentas de usuario, incluidos los de algunas personas de la plantilla de Candiru y Bindecy. Bindecy es una empresa de hackeo que el informe vincula con Discover-Tech.

Cómo respondió el sector publicitario

Varias empresas actuaron antes de que se publicara el informe, según Citizen Lab:

• Google cortó el acceso de Discover-Tech a su plataforma de intercambio publicitario y añadió protecciones en Safe Browsing.
• IAB Europe, un organismo del sector publicitario, eliminó a Discover-Tech de su lista de proveedores.
• Vungle, propiedad de Liftoff, suspendió todo el acceso de Discover-Tech durante una revisión.
• Beeswax eliminó a Discover-Tech de su plataforma, y Eskimi bloqueó sus cuentas de forma permanente.

Discover-Tech, Candiru y Bindecy no respondieron a CyberScoop.

Bill Marczak, Senior Researcher en Citizen Lab, dijo a TechCrunch que «ahora, por primera vez, tenemos pruebas técnicas concretas que muestran este proceso en acción». Marczak calificó a Discover-Tech de «seguramente solo la punta del iceberg».

«La publicidad digital está rota», dijo Wolfie Christl, Senior Researcher en Citizen Lab, a CyberScoop.

Qué significa esto para los desarrolladores

Para los equipos que crean aplicaciones, gestionan sitios financiados con publicidad o administran dispositivos de empresa:

• Trate los scripts de anuncios como código no confiable. Cualquier espacio publicitario puede ejecutar el JavaScript de un comprador. Aísle los marcos de anuncios y limite a qué pueden acceder los scripts de terceros en sus páginas.
• Bloquee los anuncios en los dispositivos de trabajo. Citizen Lab aconseja a las organizaciones bloquear anuncios y rastreo en la puerta de enlace de la red y en los dispositivos de trabajo. Use la gestión de dispositivos para excluir los teléfonos de la plantilla de la segmentación publicitaria.
• Limite los identificadores de publicidad. Citizen Lab pide a los usuarios que restablezcan con regularidad el identificador de publicidad de su teléfono y que desactiven el seguimiento publicitario. «Es hora de desactivar el seguimiento publicitario en sus dispositivos», dijo Marczak a TechCrunch.
• Examine a sus socios publicitarios. Citizen Lab pide a las empresas de publicidad que verifiquen a quién venden y que vuelvan a auditar a sus proveedores con el tiempo. Quienes gestionan sitios y aplicaciones deberían preguntar a sus redes publicitarias cómo filtran a los compradores.
• Vigile el tráfico tras la carga de los anuncios. Citizen Lab sugiere supervisar el tráfico de red vinculado a las impresiones de anuncios. Una conexión inesperada justo después de que aparezca un anuncio es una señal de alarma.