Citizen Lab, perteneciente a la Universidad de Toronto, descubrió una campaña electrónica que utilizó anuncios dirigidos para instalar spyware avanzado en dispositivos iOS y Android, sin que la víctima hiciera clic en el anuncio ni interactuara con él. El laboratorio denominó a la campaña «AdFection» y afirmó que afectó a 45 dispositivos de la institución mediática Al Jazeera durante 2024 y 2025.
La importancia de la campaña radica en que representa, según los resultados de la investigación, la primera confirmación probable de la distribución de spyware mercenario mediante anuncios dirigidos. En este escenario, basta con cargar una página web o abrir una aplicación instalada para que comience la cadena de explotación, mientras que la infección normalmente no resulta visible para el usuario sin herramientas o software forense especializado.
¿Cómo se utilizó el ecosistema publicitario?
Citizen Lab afirmó que los anuncios fueron proporcionados por la empresa israelí Discover-Tech, que se presenta como una compañía publicitaria legítima, pero la describió como un intermediario entre los compradores de anuncios y los editores o desarrolladores de aplicaciones, con un papel en la conexión del mercado publicitario con el ecosistema del spyware mercenario.
Este tipo de intermediación se basa en subastas publicitarias que se dirigen a categorías específicas mediante identificadores de dispositivos móviles, ubicación, direcciones IP y otros datos. El laboratorio obtuvo más de 4.000 millones de registros de pujas procesados por Discover-Tech, que mostraban anuncios de la empresa en más de 70.000 aplicaciones móviles y 120.000 sitios web entre marzo y junio de 2026.
Los resultados señalaron que Discover-Tech utilizó marcos de consentimiento relacionados con el Reglamento General de Protección de Datos europeo para dirigirse a usuarios dentro de la Unión Europea, y que también mostró sus anuncios a través de las redes de Google, Yandex y Beeswax. Google e IAB Europe habían incluido a la empresa como proveedor «autorizado» o «verificado» antes de retirar su nombre de los registros, mientras que Google puso fin a su acceso a las plataformas de intercambio publicitario. Beeswax también retiró a la empresa de su plataforma, Vungle, perteneciente a Liftoff, suspendió temporalmente su acceso para llevar a cabo una revisión, y Eskimi bloqueó sus cuentas y dominios.
¿Qué cambió en la práctica?
Según la investigación, los anuncios se mostraban a objetivos que coincidían con determinados perfiles, tras lo cual código JavaScript u otro código se conectaba con los servidores de control de Candiru, que a su vez devolvían un exploit que instalaba la carga maliciosa sin interacción del usuario. Citizen Lab afirmó que Candiru desarrolló y distribuyó el software y que actualmente opera bajo el nombre Integrity Labs.
El informe no reveló las vulnerabilidades explotadas ni el software final instalado por la campaña. La fuente considera probable que se tratara de vulnerabilidades «de día cero» que fueron corregidas después de que Citizen Lab descubriera la campaña, pero este punto no ha sido demostrado mediante detalles técnicos publicados. Discover-Tech y Candiru tampoco respondieron a las solicitudes de comentarios.
¿Por qué es importante esta noticia?
Citizen Lab afirmó que los anuncios vinculados a Discover-Tech aparecieron en redes pertenecientes a la Organización del Tratado del Atlántico Norte y a las Naciones Unidas, así como en organismos legislativos europeos, proveedores de infraestructura crítica en Australia y agencias y fuerzas armadas gubernamentales de Noruega y Suecia. El laboratorio advierte de que las redacciones y los periodistas, editores y demás trabajadores que las integran podrían ser objetivos directos.
La campaña revela un problema que va más allá del dispositivo de la víctima: las herramientas de segmentación publicitaria diseñadas para identificar grandes audiencias comerciales pueden convertirse en un canal para distribuir spyware altamente especializado. Por ello, Citizen Lab instó a los anunciantes y a los funcionarios gubernamentales a adoptar medidas proactivas para impedir este tipo de campañas.
Para reducir los riesgos, la fuente recomendó utilizar bloqueadores de anuncios, restablecer el identificador de publicidad en iOS y Android e instalar herramientas de bloqueo en las redes domésticas o de oficina, además de instalar las actualizaciones del sistema y del software en cuanto estén disponibles. Esto no significa que estas medidas garanticen la prevención de la infección en todos los casos, especialmente porque no se han publicado los detalles de las vulnerabilidades ni de la carga final.