Un anuncio no debería poder instalar spyware. Citizen Lab documentó que sí puede. Al menos 45 dispositivos de Al Jazeera fueron atacados e infectados en 2024 y 2025.
El vector fue la plataforma publicitaria de Discover-Tech, con tecnología de Candiru, la empresa israelí de espionaje.
El informe se publicó el 15 de octubre. Los ataques son viejos; la confirmación técnica es nueva.
La técnica se llama AdFection y funciona dentro de las subastas en tiempo real (RTB) que deciden qué anuncio ves en cada página. Discover-Tech compraba impresiones, insertaba JavaScript en los anuncios y, cuando el anuncio se renderizaba, el código contactaba servidores de Candiru.
Si el dispositivo parecía interesante, recibía un exploit; si no, solo quedaba el perfilado. Nada de pulsar un enlace: zero-click.
Cómo un anuncio termina en spyware
Discover-Tech se presenta como una empresa publicitaria israelí y opera una plataforma llamada Controlium. Citizen Lab afirma que funcionaba como puente entre el ecosistema de anuncios y Candiru, rebautizada Integrity Labs.
La investigación revisó unos 4.000 millones de registros de pujas. Encontró anuncios del intermediario en casi 200.000 sitios y aplicaciones. Las impresiones llegaron a cientos de miles o millones de usuarios.
Discover-Tech apareció durante años en listas de vendedores “certificados” de Google y de IAB Europe. Esa es la asociación de la industria publicitaria. Una empresa sin señales de actividad legítima podía perfilar dispositivos a escala mientras sus anuncios circulaban por redes que tocan casi cualquier teléfono o navegador.
México, Brasil y Uruguay en los registros
El informe también encontró impresiones en redes operadas por gobiernos de México, Brasil y Uruguay. En los registros aparecen organismos electorales de México, Armenia e Indonesia. Además, aparecen redes de ministerios de defensa, fuerzas armadas, agencias de ciberseguridad y organizaciones como la OTAN, la ONU e instituciones europeas.
El matiz importa: una impresión publicitaria no demuestra que el dispositivo haya sido infectado. Citizen Lab solo confirmó infecciones en los 45 dispositivos de Al Jazeera. Tratar cada anuncio sospechoso como un hackeo confirmado sería exagerar el alcance; ignorarlo, también.
La respuesta de Google, IAB y los proveedores
Google e IAB Europe retiraron a Discover-Tech de sus registros a principios de octubre. Google le cortó el acceso a sus plataformas; Beeswax y Vungle pausaron el suyo, y Eskimi cerró cuentas y dominios.
Al Jazeera había detectado patrones inusuales en dispositivos de sus periodistas en 2024 y contactó a Citizen Lab, cuya información ayudó a verificar los ataques. El Comité para la Protección de los Periodistas (CPJ) pidió una investigación.
El caso recuerda que un ataque no siempre empieza con un clic ni con un archivo adjunto. Puede empezar con una subasta de anuncios que nadie audita.
Qué significa para medios y anunciantes
La publicidad programática es una cadena de suministro. Intermediarios, exchanges, SDK y creatividades se ejecutan en el navegador o en la app. Como cualquier cadena, se puede envenenar.
Para una redacción, la lección práctica es auditar qué proveedores tienen acceso a sus páginas y aplicaciones. También revisar dispositivos con herramientas forenses y no confundir alcance con infección.
El titular no es “hackearon Al Jazeera”. Es que el sistema de anuncios puede ser la puerta, y esa puerta la usan todos. Al Jazeera, Ars Technica y Vanguardia amplían el contexto.
Otros titulares considerados:
- AdFection: el spyware zero-click que viajaba dentro de anuncios
- Discover-Tech: la empresa de anuncios que conectaba con Candiru
- Citizen Lab halla impresiones de anuncios en redes de México y la OTAN
- Una impresión no es una infección: el matiz del caso Al Jazeera
- Cómo la publicidad programática se convirtió en cadena de suministro de spyware
Más en: Ciberseguridad
