AdFection: anuncios dirigidos instalaron spyware cero clic en Al Jazeera

Un anuncio que se muestra durante milisegundos puede bastar para comprometer un teléfono sin que su dueño toque nada. Esa es la conclusión de una investigación del Citizen Lab de la Universidad de Toronto, que documentó AdFection, el primer caso confirmado técnicamente de spyware mercenario distribuido mediante publicidad segmentada con ataques de «cero clic». El informe sostiene que 45 dispositivos de Al Jazeera fueron infectados entre 2024 y 2025, con impacto en equipos iOS y Android.

• Sin interacción: el spyware se instala cuando la víctima carga una web o abre una aplicación, sin pulsar enlaces ni abrir archivos.
• Controlium: la plataforma atribuida a la firma israelí Discover-Tech permite desanonimizar, perfilar y marcar objetivos para entregarles código malicioso al mostrarles un anuncio.
• Al Jazeera, el caso confirmado: 45 dispositivos de la cadena catarí habrían sido comprometidos con spyware de Candiru, sancionada por Estados Unidos en 2021.
• Respuesta parcial: Google expulsó a Discover-Tech de su publicidad, IAB Europe suspendió su acreditación y los investigadores reclaman una intervención regulatoria urgente.

Publicidad convertida en tubería de spyware

Según el informe, Discover-Tech se presenta como una agencia de publicidad digital especializada, pero su plataforma Controlium actúa como facilitadora de firmas de spyware mercenario. El sistema recoge la identidad y la dirección IP del usuario cuando se le muestra un anuncio aparentemente inofensivo —por ejemplo, de un videojuego o de un servicio de telecomunicaciones— y, si esa persona ha sido seleccionada como objetivo, permite enviar spyware a su dispositivo en cuestión de segundos.

El alcance es masivo: sus anuncios aparecieron en más de 120.000 sitios web y más de 70.000 aplicaciones móviles, y una revisión de registros de servidores los detectó en casi 200.000 webs y aplicaciones distintas. Jérôme Dangu, cofundador y director de tecnología de Confiant, estimó que la empresa emitía al menos diez millones de anuncios diarios en todo el mundo. Los avisos se sirven mediante subastas programáticas de milisegundos y llegaron a usuarios de Yemen, Brasil, México y Chequia, además de redes de entidades gubernamentales de Europa y Estados Unidos, la ONU, la OTAN, la Corte Penal Internacional y el Organismo Internacional de Energía Atómica.

«AdFection permite a los operadores hackear automáticamente a personas concretas con spyware mercenario mientras usan aplicaciones o navegan por internet. Alguien hackeado así no vería nada raro; puede que ni siquiera llegue a ver ningún anuncio», explica Bill Marczak, investigador sénior del Citizen Lab.

El rastro forense en Al Jazeera

El equipo tecnológico de Al Jazeera detectó patrones inusuales en los dispositivos de algunos periodistas en 2024 y recurrió a Citizen Lab, que verificó los ataques con los registros de red que la cadena compartió. Los dispositivos comprometidos contactaron primero con dominios vinculados a Discover-Tech y después con infraestructura asociada a Candiru, desarrollador israelí sancionado por Estados Unidos en 2021 y cuyos activos se atribuyen hoy a Integrity Partners. El informe no señaló a ningún gobierno ni cliente concreto como responsable de encargar los ataques.

Al Jazeera condenó la operación como una agresión contra la libertad de prensa y el derecho del público a la información. La investigación también detectó anuncios de Discover-Tech en redes de otros medios de Austria, Dinamarca, Francia, México, Israel, Italia, Noruega y Suecia, cuyos nombres no reveló. Algunas coberturas del caso describieron equipos con Windows entre los afectados, aunque otras descripciones aluden a móviles iOS y Android.

«La arquitectura de vigilancia masiva que sostiene la publicidad digital está siendo utilizada para otros fines y pone a los periodistas en riesgo», afirma Jonathan Rozen, director adjunto de investigación del Comité para la Protección de los Periodistas.

Bloqueos, suspensiones y presión regulatoria

Tras una investigación conjunta con Citizen Lab y Confiant, Google confirmó el vínculo con el spyware y bloqueó a Discover-Tech de sus plataformas publicitarias, además de activar avisos de Navegación Segura. IAB Europe suspendió a la empresa de su lista global de proveedores autorizados y Beeswax, filial de Comcast, también la retiró.

«Es desastroso que los principales proveedores de publicidad no hayan sido capaces de detectar ni prevenir estas operaciones maliciosas durante años», subraya Wolfie Christl, investigador sénior del Citizen Lab, para quien la publicidad digital «está rota» y exige que reguladores y legisladores de Estados Unidos, Europa y otras regiones investiguen a las compañías implicadas.

La recomendación práctica es contundente: bloquear anuncios de la forma más exhaustiva posible, porque, según los investigadores, hoy no existe una manera consistentemente segura de exponerse a publicidad segmentada.

AdFection no describe un fallo aislado, sino un modelo: la infraestructura que segmenta audiencias con precisión quirúrgica sirve también para elegir objetivos y entregarles spyware sin dejar rastro visible. La responsabilidad se reparte entre agencias, intermediarios, redes publicitarias y firmas de vigilancia, y las medidas adoptadas llegan después de años de actividad. La presión regulatoria y la exigencia de auditorías reales a los vendedores de publicidad determinarán si este abuso se corrige o se consolida como un negocio más de la economía de la vigilancia.