Un nuevo informe de Citizen Lab reveló un programa espía denominado AdFection, capaz de infectar teléfonos y computadoras con solo mostrar un anuncio malicioso, sin que la víctima tenga que hacer clic en un enlace ni abrir un archivo. Los investigadores describen esto como la primera confirmación de ataques de espionaje gubernamentales respaldados que se distribuyen mediante anuncios en línea y funcionan de forma «sin clic».
Según el informe, la tecnología fue desarrollada por la empresa israelí Discover-Tech, que se presenta como una compañía de publicidad legítima. El sistema se utilizó para atacar a periodistas y empleados de la red Al Jazeera, además de funcionarios y empleados de instituciones y organizaciones que incluían a la Organización del Tratado del Atlántico Norte, la Comisión Europea, NVIDIA y Arm.
¿Cómo se convirtieron los anuncios en un canal de espionaje?
Discover-Tech aprovechó el sistema de pujas en tiempo real utilizado en la publicidad dirigida, que permite a los anunciantes competir por mostrar anuncios a usuarios específicos. Según Citizen Lab, esta infraestructura se utilizó en cambio para identificar a los usuarios o eliminar su anonimato y luego seleccionar objetivos concretos, antes de incorporar código malicioso en anuncios que parecían normales.
El peligro del método reside en el amplio alcance de la red publicitaria; la organización afirmó que los anuncios vinculados al sistema se mostraron 442 millones de veces en más de 120.000 sitios web, entre ellos BBC y The New York Times, y en aplicaciones como Duolingo, Badoo y Grindr. Los anuncios también aparecieron en dispositivos utilizados por ejércitos, gobiernos, infraestructuras críticas y agencias nacionales de ciberseguridad.
Una medida de Google y preguntas abiertas
Google estuvo entre las plataformas publicitarias atacadas mediante esta técnica, pero eliminó a Discover-Tech de su lista mundial de proveedores después de una investigación conjunta con Citizen Lab y la empresa Confiant. Google afirmó que la compañía fue bloqueada de sus plataformas por infringir sistemáticamente sus políticas.
Los investigadores también encontraron registros de acceso en el sitio web de Discover-Tech que incluían datos relativos a empleados de la empresa de espionaje Candiru. Discover-Tech y las demás entidades mencionadas en el esquema no hicieron comentarios hasta el momento de publicación del artículo.
¿Por qué es importante esta noticia?
El descubrimiento muestra que el modelo de publicidad digital, que llega a los usuarios a través de una enorme cantidad de sitios web y aplicaciones, puede convertirse en un canal de infección que no requiere una conducta evidente por parte de la víctima. Esto amplía el alcance de los riesgos en comparación con los ataques que dependen del phishing o de la descarga de un archivo, pero no demuestra que todos los anuncios o todas las plataformas publicitarias estén expuestos de la misma manera; el informe se centra en un sistema y una empresa concretos, mientras que las investigaciones aún no han divulgado todos sus detalles.
El investigador de Citizen Lab Bill Marczak afirmó que lo revelado podría ser «solo la punta del iceberg» y exhortó a las personas que podrían ser atacadas debido a su identidad o trabajo a desactivar el seguimiento publicitario o bloquear los anuncios. Siguen sin respuestas completas las preguntas sobre el alcance de la difusión de la tecnología, el número de dispositivos realmente infectados y las entidades que están detrás de las operaciones de uso, según el material disponible.