No hacía falta abrir un enlace sospechoso: bastaba con que cargara un anuncio preparado para atacar. Una investigación de Citizen Lab, publicada el jueves 15 de octubre y reportada por Forbes Chile, documentó una operación de espionaje contra empleados de Al Jazeera que alcanzó hasta 45 computadoras Windows entre 2024 y 2025.
⚙️ La técnica, llamada AdFection, aprovechaba las subastas automáticas que deciden qué publicidad aparece en páginas y aplicaciones: Discover-Tech, una empresa israelí con sede en Tel Aviv, compra espacios en plataformas como Google, Microsoft y Yandex, pero su servicio Controlium permitía seleccionar objetivos usando datos de sus socios publicitarios. Identificadores publicitarios, direcciones IP e información de ubicación podían ayudar a relacionar dispositivos con personas y dirigirles contenido preparado para explotar vulnerabilidades, sin clics, descargas manuales ni aceptación de permisos. Según los investigadores, Discover-Tech también operaba como una plataforma de compra de anuncios o DSP, intermediaria entre anunciantes, sitios y aplicaciones.
🔒 Citizen Lab vinculó la operación con Candiru, otra empresa israelí cuyo software espía puede vigilar mensajes, llamadas y ubicaciones; el análisis de registros técnicos entregados por Al Jazeera permitió documentar las infecciones, aunque no se sabe qué información obtuvo el programa en esos equipos, quién encargó el ataque ni con qué motivo. Candiru ya había sido vinculada con un ataque contra el medio londinense Middle East Eye en 2021 y ese mismo año Estados Unidos la incorporó a una lista de restricciones comerciales por su actividad relacionada con programas espía; a principios de 2025 fue adquirida por Integrity Partners, una pequeña firma estadounidense de capital privado. Discover-Tech y Candiru no respondieron a las consultas de Forbes, Al Jazeera tampoco había comentado al publicarse la nota y Candiru había sostenido anteriormente que desconocía cómo utilizaban sus clientes su software.
📊 Según Alta Densidad, se identificaron anuncios vinculados con más de 120,000 sitios y 75,000 aplicaciones, además de presencia publicitaria en redes de Naciones Unidas, la OTAN, la Comisión Europea, el Pentágono, la Agencia Internacional de Energía Atómica y la Corte Penal Internacional. También hubo actividad en entornos relacionados con Nvidia, Broadcom y Micron; el trabajo paralelo de Confiant, especializada en seguridad publicitaria, encontró indicios en redes gubernamentales y de investigación nuclear. Que un anuncio apareciera en esas redes no demuestra que sus equipos fueran infectados: el total de posibles infecciones adicionales sigue sin conocerse.
🛠️ Tras recibir los hallazgos, Google vetó a Discover-Tech de su plataforma publicitaria y dijo haber incorporado alertas de Navegación segura en Chrome para sitios vinculados con el grupo; otras plataformas también restringieron su acceso e IAB Europe suspendió a la compañía de su lista de proveedores. Citizen Lab, laboratorio de la Universidad de Toronto, no identificó al cliente responsable de la operación, aunque sus investigadores consideraron probable que algunos gobiernos estén abusando de estas capacidades fuera de objetivos estrictamente relacionados con delitos o seguridad nacional. Esa valoración no equivale a atribuir este ataque a un gobierno concreto.
¿Por qué importa en México?
Citizen Lab también detectó anuncios potencialmente maliciosos dirigidos a periodistas de hasta otras 18 organizaciones informativas en países como Israel, Francia, Italia, Australia y México. Los investigadores estaban contactando a esos medios para determinar la afectación: por ahora, eso no permite afirmar que haya computadoras infectadas en medios mexicanos.
Para usuarios y quienes desarrollan sitios o aplicaciones, la diferencia importante es que evitar clics sospechosos no cubre todos los riesgos: estos ataques utilizaron vulnerabilidades específicas y herramientas avanzadas, no una capacidad que tenga cualquier anuncio. Mantener actualizados el sistema, el navegador y las aplicaciones, limitar la personalización publicitaria y usar bloqueadores puede reducir la exposición; Android y iPhone también ofrecen controles de seguimiento. Ninguna de esas medidas garantiza protección absoluta, especialmente dentro de aplicaciones con sus propios sistemas publicitarios.
💬 ¿Usas un bloqueador de anuncios por comodidad, por seguridad o todavía navegas sin uno?
¿Pero deveras? 🌵💚
