La publicidad digital fue utilizada para infectar con programas espía de origen israelí a dispositivos de periodistas de la cadena Al Jazeera, una técnica que podría haber sido usada también en España, México y otros países, se informó este jueves.
Se trata de la primera confirmación de ataques con programas espía mercenarios distribuidos mediante anuncios digitales y ejecutados sin intervención del usuario, una técnica conocida como «zero-click», afirmó en un informe el Citizen Lab, un centro de la Universidad de Toronto especializado en el análisis del espionaje digital, la vigilancia gubernamental y las amenazas tecnológicas.
Los investigadores determinaron con «elevada confianza» que al menos 45 dispositivos de Al Jazeera fueron atacados e infectados en 2024 y 2025 con tecnología de Candiru, una empresa israelí de espionaje informático.
La operación utilizó la plataforma publicitaria de otra compañía israelí, Discover-Tech, que, según Citizen Lab, actuaba como intermediaria entre empresas de espionaje y el sector de la publicidad digital.
El sistema, bautizado como «AdFection», aprovecha las subastas automáticas que determinan qué anuncios aparecen en páginas web y aplicaciones.
Cuando Discover-Tech consigue colocar un anuncio, recopila información del dispositivo, como su dirección IP e identificadores publicitarios.
Si el usuario es seleccionado como objetivo, puede enviar un código malicioso que se ejecuta automáticamente.
«Es una especie de pesadilla porque demuestra que los dispositivos pueden ser infectados por empresas de programas espía simplemente al visualizar un anuncio en una página web o aplicación, silenciosamente», declaró al periódico canadiense The Globe and Mail Wolfie Christl, coautor del estudio.
Citizen Lab analizó unos 4 mil millones de registros de pujas publicitarias y descubrió anuncios de Discover-Tech en casi 200 mil páginas web y aplicaciones, incluso en redes de la OTAN, Naciones Unidas, instituciones europeas y organismos militares.
La investigación también identificó anuncios en redes gubernamentales de Brasil, México y Uruguay, entre otros países, aunque advirtió que su aparición no demuestra que esos sistemas fueran infectados.
Paralelamente, la empresa de ciberseguridad estadounidense Confiant, especializada en detectar y bloquear publicidad digital maliciosa, descubrió operaciones publicitarias vinculadas a Candiru en nueve países, entre ellos España y México.
Confiant calcula que Discover-Tech distribuía unos 10 millones de anuncios diarios y detectó una actividad especialmente intensa en la península ibérica y el Estrecho de Gibraltar.
«La publicidad digital está rota. Y su funcionamiento actual constituye una amenaza para los Estados, el sector privado, la sociedad civil y todos los demás», advirtió Christl.
Tras la investigación, Citizen Lab certificó que Google y la asociación publicitaria IAB Europe retiraron a Discover-Tech de sus listas de proveedores autorizados a principios de octubre.
