Índice de contenidos
Claves de la noticia
- Citizen Lab documenta infecciones con spyware de Candiru a través de anuncios que no exigían hacer clic.
- El informe distingue los ataques a Al Jazeera de una infraestructura publicitaria que alcanzó miles de aplicaciones y webs.
- Las pujas y los anuncios mostrados permiten medir alcance, pero no calcular cuántas personas acabaron infectadas.
Un anuncio puede actuar como puerta de entrada al espionaje sin que nadie pulse sobre él. Citizen Lab ha publicado este 15 de octubre una investigación sobre AdFection, una técnica de infección mediante publicidad dirigida que vincula a Discover-Tech con el spyware de Candiru. El hallazgo afecta a la seguridad de la cadena publicitaria: el código se entrega selectivamente después de mostrar el anuncio.
La secuencia que convierte un anuncio en una infección
El informe técnico de Citizen Lab, de la Universidad de Toronto, sitúa los ataques contra Al Jazeera en 2024 y 2025. Al menos 45 dispositivos de la organización fueron objetivos. El laboratorio presenta el caso como la primera confirmación técnica pública de spyware mercenario distribuido mediante anuncios sin clic; esa afirmación describe la evidencia publicada ahora, no la fecha de todas las intrusiones.
Los registros de red aportados por Al Jazeera permiten reconstruir el recorrido. En los dispositivos infectados aparece primero una conexión con infraestructura de Discover-Tech, asociada a la impresión publicitaria. Después llega el contacto con un servidor validador atribuido a Candiru y, finalmente, con su infraestructura de mando y control. El mínimo de objetivos identificados no debe convertirse automáticamente en un recuento de infecciones consumadas.
La publicidad automatizada adjudica espacios mediante subastas en tiempo real, conocidas como real-time bidding o RTB. Sus participantes reciben información sobre el dispositivo y el contexto donde se verá el anuncio. Además de una imagen, la creatividad puede ejecutar código dentro de la aplicación o del navegador. Esa combinación permite seleccionar destinatarios y entregarles instrucciones distintas.
Según el análisis, el servidor de Discover-Tech podía devolver código a un visitante elegido y una respuesta vacía a otro. Por eso una revisión que solo observe el banner o acceda desde un dispositivo ajeno al objetivo puede no recuperar la carga maliciosa. No se trata de que cada anuncio infecte cualquier equipo: la selección y la explotación son pasos adicionales.
196.141 soportes no equivalen a 196.141 víctimas
Citizen Lab examinó los registros de MyDSP entre marzo y junio de 2026: 3.770.286.576 pujas y 441.954.291 adjudicaciones aparentes. Los anuncios con etiquetas del atacante se mostraron en 75.373 aplicaciones Android e iOS y en 120.768 sitios web. Cada magnitud responde a una pregunta distinta.
| Registro | Qué acredita | Qué no demuestra |
|---|---|---|
| Puja | Interés en obtener una impresión | Que el anuncio se mostrara |
| Impresión | Entrega del anuncio en un soporte | Infección del dispositivo |
| Cadena de conexiones | Secuencia técnica del ataque investigado | Una tasa global de infección |
Un cálculo propio a partir de los dos recuentos de soportes suma 196.141 registros de aplicaciones y sitios. Las aplicaciones representan el 38,4 % de esa suma, mientras que concentraron el 76,7 % de las pujas estudiadas. El cálculo divide 75.373 entre 196.141; el porcentaje de pujas procede del informe. Contar soportes y contar oportunidades publicitarias produce retratos diferentes del alcance: las aplicaciones son minoría en el primer recuento y mayoría en el segundo.
La comparación no mide usuarios únicos, tiempo de exposición ni infecciones. Tampoco permite deducir que cada instalación de una aplicación recibiera esos anuncios. Su utilidad consiste en impedir que una lista de dominios, una cifra de pujas o un total de impresiones se conviertan en una estimación de víctimas sin evidencia adicional.
Confiant observa la otra cara de la cadena
La investigación de Confiant parte de una creatividad detectada el 12 de abril y estudia actividad entre el 1 de abril y el 10 de septiembre de 2026. Describe técnicas para identificar dispositivos, ocultar el comportamiento ante inspecciones y transferir la navegación hacia infraestructura atribuida por Citizen Lab a Candiru.
Son perspectivas complementarias: el análisis de anuncios ayuda a explicar la entrega selectiva; los registros de Al Jazeera respaldan el recorrido de los equipos atacados. Los dos equipos colaboraron, por lo que no constituyen verificaciones independientes de cada afirmación. Tampoco deben fusionarse sus períodos de observación como si fueran una única muestra.
Citizen Lab difundió la investigación en su anuncio oficial de AdFection en X, donde diferencia el perfilado de millones de usuarios de la infección de objetivos seleccionados.
Thread 🧵
1/ NEW REPORT: Billions of advertising auctions determine in real time which ads we see on websites and in apps every day. Our latest research shows how the same data fueling this advertising ecosystem is being used to profile millions of users and silently infect…— The Citizen Lab (@citizenlab) October 15, 2026
La defensa empieza antes del clic
Google comunicó al laboratorio que había terminado el acceso de Discover-Tech a sus plataformas de intercambio publicitario y añadido protecciones de Safe Browsing. El informe recoge también medidas de otros intermediarios. Son respuestas sobre canales identificados; no certifican que haya desaparecido cualquier operación que utilice técnicas similares. Discover-Tech y Candiru, rebautizada como Integrity Labs, no respondieron dentro del plazo dado por los investigadores.
Para una redacción, empresa u organismo español, el cambio práctico es revisar la entrega de publicidad y código de terceros junto con la protección del dispositivo. La formación contra enlaces engañosos sigue teniendo utilidad, pero aquí falta el gesto que esa formación intenta evitar. El proyecto de DNS protector de Singapur ilustra otra capa de defensa en red: filtrar destinos complementa, sin sustituir, el análisis de un posible compromiso.
Citizen Lab recomienda bloquear anuncios y seguimiento en equipos oficiales y reforzar la revisión de proveedores. La presencia de España entre localizaciones de operadores o accesos descritos en el estudio no prueba infecciones españolas. La conclusión operativa es concreta: la evidencia de entrega publicitaria exige investigar exposición; la evidencia de compromiso exige reconstruir el ataque. Confundir ambas sobredimensiona las víctimas y dificulta decidir qué sistemas necesitan respuesta.
Imagen: recreación conceptual generada para Tecnología Today; no muestra dispositivos de las víctimas.
