Una investigación descubre anuncios capaces de instalar spyware sin que el usuario haga clic

Un anuncio podía bastar para iniciar el ataque. Citizen Lab ha documentado infecciones con el spyware de Candiru en dispositivos utilizados por Al Jazeera después de que recibieran publicidad contratada por Discover-Tech. Los usuarios no tenían que pulsar el anuncio: la cadena se activaba cuando este se cargaba en una página o aplicación.

Los ataques ocurrieron en 2024 y 2025. La noticia es la publicación del análisis técnico, que explica cómo una empresa integrada en el mercado publicitario podía identificar a personas concretas y hacerles llegar un anuncio distinto al que recibía el resto. Citizen Lab examinó registros de red facilitados por Al Jazeera y relacionó la secuencia de conexiones con la infraestructura de Discover-Tech y Candiru.

El anuncio seleccionaba a quién atacar

La operación aprovechaba el sistema de pujas con el que se compran muchos espacios publicitarios. Discover-Tech podía competir por mostrar un anuncio a un dispositivo que le interesaba. Al cargarse, el anuncio solicitaba código JavaScript a un servidor de la compañía.

La respuesta de ese servidor dependía del destinatario. En la mayoría de los casos no devolvía código para iniciar una infección, aunque el anuncio seguía recogiendo datos del navegador y del dispositivo. Cuando reconocía un objetivo seleccionado, podía entregar el contenido que activaba la cadena de ataque. El anuncio podía incluso cargarse en segundo plano, sin que la persona lo viera.

Esta distinción es esencial para interpretar el alcance del caso. Que un dispositivo recibiera un anuncio de Discover-Tech no significa que quedara infectado. Citizen Lab sí ha documentado infecciones reales en Al Jazeera y señala que al menos 45 dispositivos de esa organización fueron objeto de los ataques; esa cifra corresponde a dispositivos atacados, no a 45 infecciones confirmadas.

La plataforma utilizada por Discover-Tech se llamaba Controlium. Según la investigación, permitía perfilar dispositivos, relacionar identificadores publicitarios con personas y seleccionar objetivos para operaciones posteriores. Esa capacidad convertía información habitual del mercado de anuncios en una herramienta de vigilancia.

Cuatro mil millones de registros muestran el alcance de la red

Los investigadores analizaron cerca de 4.000 millones de registros de pujas procedentes de un servidor de Discover-Tech. Durante cuatro meses, encontraron anuncios de la compañía en casi 200.000 sitios web y aplicaciones de distintos países. Se trata de lugares donde se sirvieron anuncios, no de víctimas de spyware.

Citizen Lab también observó que anuncios de Discover-Tech dirigían millones de dispositivos a servidores vinculados con Candiru. El informe interpreta ese tráfico como una posible operación de seguimiento y reconocimiento a gran escala. De nuevo, una conexión con esos servidores no equivale por sí sola a una infección.

La investigación describe dos usos relacionados de la misma infraestructura. Uno consistía en reunir datos para reconocer y seguir dispositivos. El otro permitía distribuir spyware a objetivos seleccionados. El primero podía afectar a muchísimas personas; el segundo exigía identificar al destinatario y ejecutar la cadena de ataque en su dispositivo.

Para reconstruir lo ocurrido en Al Jazeera, Citizen Lab comparó los registros de red del periodo de los ataques con los dominios de Discover-Tech, la infraestructura atribuida a Candiru y el comportamiento del programa espía. Los dispositivos infectados contactaban primero con sistemas asociados a la carga del anuncio. Esa secuencia ayudó a vincular la publicidad con la infección posterior.

Qué han hecho las plataformas publicitarias

Tras recibir información sobre los hallazgos, varias empresas del sector publicitario tomaron medidas contra Discover-Tech. Citizen Lab recoge entre ellas la retirada del proveedor de determinados sistemas, el bloqueo de su actividad o la suspensión de sus campañas. Esas actuaciones limitan las vías descritas en el informe, pero no permiten afirmar que cualquier técnica similar haya desaparecido de la publicidad digital.

El caso tampoco demuestra que visitar una de las casi 200.000 webs y aplicaciones identificadas expusiera automáticamente al usuario al spyware. El mecanismo dependía de la selección del dispositivo y de la respuesta del servidor que controlaba el anuncio. Por eso la escala de distribución publicitaria y el número de infecciones documentadas deben presentarse por separado.

La investigación plantea un problema difícil para el usuario: evitar los clics sospechosos no habría detenido estos ataques concretos. El informe permite conocer por primera vez una cadena de este tipo documentada técnicamente en infecciones reales.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!