AdFection: te infectan con un anuncio y sin un solo clic

Abres una web normalitas —un portal de noticias, un juego de Sudoku en el móvil— y ves un anuncio. No haces clic. No instalas nada. No caes en ninguna estafa. Y aun así, hoy supimos que en ese instante tu dispositivo pudo haber sido infectado con espía mercenario de nivel gobierno.

El Citizen Lab de la Universidad de Toronto acaba de publicar el informe número 195, y el titular es de película: es la primera confirmación técnica pública de un ataque de espía cero clic entregado a través de anuncios publicitarios. Le pusieron nombre: AdFection — infección + ads.

El blanco no eras tú, probablemente. Eran periodistas de Al Jazeera. Pero la puerta que usaron la consume todo el mundo. 😳

¿Cómo infecta un anuncio sin un solo clic?

Cuando visitas cualquier web con anuncios ocurre una subasta en milisegundos: tu dispositivo pide ofertas, los anunciantes pujan por mostrarte su anuncio, y el ganador se renderiza en pantalla. Esa arquitectura, llamada Real-Time Bidding, mueve cientos de miles de millones de pujas al día.

Discover-Tech, una empresa israelí que se presentaba como una casa de publicidad legítima, metió el pie en esa puerta. Sus anuncios contenían una etiqueta de script que apuntaba a lo que la empresa llamaba su servidor "NOAS": al renderizarse, el anuncio devolvía a Discover-Tech tu identificador publicitario (cookie o advertising ID) y tu dirección IP. El servidor decidía al instante si tu dispositivo era un blanco elegible.

Si no lo eras: respuesta de cero bytes y seguías con tu vida (aunque el anuncio ya había recolectado tus datos). Si lo eras: el servidor devolvía JavaScript que ejecutaba un exploit de navegador para instalar el spyware de Candiru. Sin un clic. Sin un archivo. Sin nada que hicieras mal.

Los números son bestiales. El equipo de Bill Marczak y Wolfie Christl analizó casi 4.000 millones de registros de pujas filtrados de un servidor de Discover-Tech, y ahí aparecieron casi 200.000 sitios web y apps de Android e iOS en decenas de países donde sus anuncios llegaron a renderizarse. 🔍

Google les puso el sello de "aprobado"

Aquí es donde el chiste se envenena. Discover-Tech no operaba en los márgenes de internet: estaba en las listas de proveedores "certificados" y "aprobados" de Google y de IAB Europe desde 2020, y servía anuncios a través de Google, Yandex, Beeswax (Comcast) y Vungle. Su plataforma, MyDSP, se conectaba directo a esos intermediarios.

Peor todavía: para apuntar a víctimas dentro de la Unión Europea, Discover-Tech abusó de los marcos de consentimiento de cookies del propio GDPR. Sí: usaron tu aceptación de cookies como camuflaje para espiarte.

Y no actuaba en solitario. Su cliente estrella era Candiru —el vendedor israelí de espía mercenario, ahora rebautizado "Integrity Labs"—, el mismo tipo de software que se usa contra periodistas, disidentes y opositores. También aparecen vinculados Bindecy e Intelos, más un actor que los investigadores bautizaron DARK CARTOGRAPHER y que, según el informe, está construyendo bases de datos que vinculan tu identificador publicitario con tu número de teléfono a escala planetaria. 📱

Al Jazeera: 45 dispositivos cazados con anuncios

Entre 2024 y 2025, al menos 45 dispositivos de la red internacional de noticias Al Jazeera fueron blanco de estos ataques y quedaron infectados con el espía de Candiru vía anuncios de Discover-Tech. El patrón en los registros de red era inconfundible: primero contacto con la infraestructura de Discover-Tech (la impresión del anuncio), después el servidor validador de Candiru, y al final la conexión con su servidor de mando y control.

La ironía histórica: los mismos investigadores del Citizen Lab que destaparon a Pegasus recibieron anuncios de Discover-Tech mientras navegaban por CBC y Yahoo, y mientras jugaban al Sudoku en un móvil Android. El sistema no elige: dispara a todo el mundo y decide después a quién le devuelve el arma cargada.

Cómo protegerte mientras los reguladores reaccionan

Google, IAB Europe, Beeswax y Vungle ya cortaron a Discover-Tech a inicios de octubre, tras la investigación. Pero el informe lo dice con todas las letras: esto no fue una manzana podrida del ecosistema, fue el sistema de anuncios funcionando tal como fue diseñado — y fallando exactamente donde prometía protegerte.

Los investigadores dieron recomendaciones para reguladores y defensores, pero ¿qué hacemos los que no somos periodistas ni tenemos equipo de seguridad? Esto funciona hoy:

• Un bloqueador de anuncios es tu mejor antivirus. uBlock Origin en escritorio; en móvil, un DNS privado con filtro (AdGuard DNS, NextDNS) corta gran parte del vector.
• Actualiza navegador y sistema operativo YA. Los exploits cero clic se cuelan por huecos sin parchear; el resto de la defensa depende de eso.
• Activa el Modo de bloqueo en iPhone (pensado exactamente para spyware estatal) y Play Protect sin fuentes desconocidas en Android.
• Resetea tu identificador publicitario y desactiva la personalización de anuncios en los ajustes de tu móvil.
• Desconfía de las apps que piden perfiles de VPN o administración de dispositivo — los mercenarios usan ese atajo para quedarse dentro.

Lo más descarado del informe tiene nombre y apellido: los accionistas de Discover-Tech estuvieron ligados a la red corporativa de Intellexa, otro grupo de espía mercenario, y su junta incluyó a un pionero del ciberataque ofensivo israelí. La publicidad digital y la vigilancia de Estado ya no son industrias distintas: son la misma cadena de suministro.

Y la próxima vez que un anuncio aparezca en tu móvil, recuerda esto: para el 99,9% de los usuarios solo está robando datos para venderte zapatillas. Pero si alguien pagó lo suficiente por tu nombre, la diferencia entre "solo un anuncio" y "ya estás dentro" la decide un servidor que nunca vas a ver. 💀

Comparte esto con alguien que todavía cree que "solo es un anuncio" — y dime en los comentarios: ¿bloqueador de anuncios sí o sí, o prefieres vivir sin él y arriesgarte?