Te hackean con solo ver un anuncio: el spyware cero clic que ya infectó millones de celulares

No necesitas hacer clic. No necesitas descargar nada. No necesitas abrir un archivo sospechoso. Con solo que un anuncio se cargue en la página que estás mirando, pueden instalar un espía en tu celular en cuestión de segundos. Suena a película, pero el laboratorio de investigación de la Universidad de Toronto acaba de demostrarlo con evidencia técnica.

El Citizen Lab, de la Universidad de Toronto, publicó el 15 de octubre un informe que tiene temblando a la industria de la publicidad digital: una agencia israelí llamada Discover-Tech habría estado sirviendo millones de anuncios que permiten instalar spyware "cero clic" contra objetivos seleccionados, desde 2024 hasta hoy.

Un anuncio "inocente" como arma

La plataforma se llama Controlium. Según el Citizen Lab, su funcionamiento es simple y aterrador: cuando ves un anuncio cualquiera —un juego, un plan de telefonía—, el sistema captura tu identidad e IP. Si estás en una lista de objetivos, la firma de espionaje que contrató el servicio te envía el código malicioso sin que hagas absolutamente nada.

La infección ocurre en segundos y sin conocimiento de la víctima. El informe lo llama "AdFection": por primera vez hay evidencia técnica concreta de que el ecosistema publicitario se está usando para hackear con precisión quirúrgica.

Bill Marczak, investigador del Citizen Lab, lo dijo sin rodeos: "Ha habido mucho ruido sobre que los anuncios pueden usarse para identificar y hackear objetivos automáticamente, pero ahora es la primera vez que tenemos evidencia técnica concreta de este proceso en acción".

Periodistas, gobiernos y hasta la ONU en la mira

Las cifras son brutales. Decenas de dispositivos de la cadena qatarí Al Jazeera fueron comprometidos. Millones de personas en todo el mundo recibieron anuncios de Discover-Tech desde 2024, incluyendo Yemen, Brasil y México — sí, Latinoamérica está en la lista.

🔧 Un estudio paralelo del grupo Confiant encontró que los anuncios de esta empresa también aparecieron en redes de gobiernos de Europa y Estados Unidos, la ONU, la OTAN, el Tribunal Penal Internacional y el OIEA. ¿Casualidad? Imposible.

Wolfie Christl, otro investigador del Citizen Lab, fue contundente: "Es desastroso que los grandes proveedores de anuncios no hayan podido detectar ni prevenir las operaciones maliciosas de esta empresa durante años".

Qué puede robar de tu celular

Según el informe, el spyware entregado vía anuncios puede acceder a todo lo que tienes en el dispositivo: mensajes, fotos, correos, grabar llamadas y activar el micrófono en secreto. El objetivo declarado son funcionarios de gobierno, periodistas, activistas, académicos y trabajadores de embajadas.

Pero el mecanismo no distingue. Si el sistema perfiló a millones, cualquiera puede caer en la red.

¿Y en Latinoamérica? 🌎

Brasil y México aparecen explícitamente entre los países donde se sirvieron estos anuncios. Las apps que usamos a diario —redes sociales, portales de noticias, juegos gratuitos— dependen de subastas de anuncios en tiempo real con decenas de empresas intermediarias. Esa es exactamente la puerta trasera que explotó Discover-Tech.

Reuters ya había reportado que mil millones de dólares de ingresos de Meta vienen de anuncios de estafas y contenido ilegal. Si hasta la publicidad de Facebook está contaminada, ¿qué le queda al usuario promedio?

Cómo protegerte hoy mismo

• Bloqueador de anuncios: sigue siendo tu primera línea de defensa. Sin anuncio cargado, no hay vector de ataque.
• Actualiza el sistema: las vulnerabilidades cero clic se parchan en las actualizaciones de seguridad mensuales.
• Revisa permisos: micrófono y cámara activados sin motivo = señal de alarma.
• Desconfía de las apps "gratis": si el producto eres tú, tu dato es la moneda.

Christl pidió que las agencias de ciberseguridad y reguladores de EE.UU. y Europa investiguen de inmediato. Pero mientras los legisladores discuten, el mercado de anuncios sigue subastando tu atención — y tu identidad — cada milisegundo.

La verdad incómoda

Los anuncios dejaron de ser solo publicidad: son infraestructura de vigilancia. Y lo peor no es que una empresa israelí lo hiciera con la publicidad de medios globales. Lo peor es que nadie lo detectó durante años, ni los antivirus, ni las plataformas, ni los gobiernos.

Si esto no te parece una alarma, es que no estás entendiendo lo que significa. 🔥

¿Compartes esto con alguien que todavía cree que los anuncios son inofensivos? Déjame en los comentarios: ¿ya instalaste un bloqueador de anuncios en tu celular o sigues navegando a ciegas?