Spyware a través de la cadena publicitaria: Citizen Lab documenta la entrega zero-click de 'AdFection'
Un informe publicado el 15 de octubre de 2026 por Citizen Lab, el grupo de investigación de la Universidad de Toronto, describe un método de distribución de spyware con una barrera inusualmente baja para la víctima: bastaba con mostrar un anuncio en línea segmentado. El ataque, que los investigadores llaman AdFection, no requería ningún clic, ninguna descarga ni ningún cuadro de confirmación. Según el equipo de seis personas que firmó el informe, el spyware mercenario alcanzó a sus objetivos a través de la misma infraestructura publicitaria de la que dependen los sitios web convencionales para financiarse.
El hallazgo importa para cualquiera que considere los sitios de noticias conocidos y otros dominios consolidados como superficies inherentemente seguras. Las infecciones no ocurrieron en una página dudosa ni a través de un mensaje de phishing. Ocurrieron dentro de los espacios publicitarios de páginas web corrientes, colocados por redes que la mayoría de los editores nunca audita y que la mayoría de los lectores no puede ver. Un espacio publicitario es uno de los pocos lugares donde el contenido externo se carga automáticamente en una página, lo que lo convierte en un punto de interés natural para quien estudia la superficie de ataque en lugar de la reputación. Cómo un espacio publicitario se convirtió en un canal de distribución
El informe, 'Exposing AdFection', documenta cómo Discover-Tech, una empresa israelí de ad tech, encargó y pagó los anuncios maliciosos y los dirigió hacia objetivos seleccionados. Detrás de la campaña estaba Candiru, el proveedor de spyware mercenario que, según señala Citizen Lab, ahora opera encubierto bajo el nombre de 'Integrity Labs'. Al pagar su entrada en el ecosistema publicitario, la operación conectó a un proveedor de spyware con un canal en el que los editores y sus audiencias tenían pocas razones para desconfiar. Citizen Lab confirmó infecciones en dispositivos de empleados de Al Jazeera, cuya propia cobertura corrobora el caso. Según el Comité para la Protección de los Periodistas, al menos 45 dispositivos resultaron afectados. Los investigadores escriben además que hay indicios de que el Ministerio de Asuntos Exteriores saudí también estuvo entre los objetivos; esa parte sigue sin confirmarse y debe leerse como una afirmación y no como un hecho establecido. El rasgo definitorio de AdFection es que ver el anuncio y quedar infectado coincidieron en el tiempo. Las víctimas no hicieron clic en nada ni instalaron nada. En el modelo estándar, el criterio del usuario es el último control que tiene que fallar; en este ataque, ese control nunca formó parte de la secuencia. Durante años, la investigación en seguridad de navegadores ha tratado la idea de que la mera exposición a contenido web pudiera comprometer un dispositivo como el peor caso teórico; el informe muestra que se lleva a la práctica, contra personas concretas, a través de un canal comercial. La respuesta de la industria
Cuando los hallazgos se hicieron públicos, parte de la industria publicitaria se movió para cortar el acceso de la empresa. Como informa el sitio tecnológico alemán Tarnkappe, Google terminó el acceso de Discover-Tech a su plataforma publicitaria, e IAB Europe eliminó la empresa de sus listados de proveedores. Beeswax/FreeWheel y Eskimi prescindieron de Discover-Tech como socio, y Vungle/Liftoff suspendió su acceso a la espera de revisión. Al Jazeera, cuyo personal está entre los infectados, ha cubierto el caso de forma independiente, y medios especializados en seguridad como The Record han dado seguimiento a los hallazgos. La amplitud de la respuesta es en sí misma notable: en cuestión de días tras la publicación, un solo informe de investigación cambió la posición comercial de una empresa de ad tech en varias de las plataformas centrales del sector. Qué significa esto para la seguridad operacional
Para las personas que se toman en serio la seguridad operacional, la lección es incómoda. La mayoría de las recomendaciones personales se construyen en torno a qué no hacer clic, y presuponen que la cautela en el momento de la interacción es suficiente. Un canal de distribución que no necesita interacción elimina esa presunción. Lo que queda son los parches, el bloqueo de anuncios y el filtrado a nivel de red: controles que mucha gente, incluidos usuarios técnicos, no aplica de manera uniforme. Un sitio confiable está tan limpio como el contenido de terceros que incrusta, y la publicidad es el contenido de terceros más distribuido de la web. Ya hemos analizado antes el precio en privacidad de los widgets de terceros incrustados; AdFection demuestra que el riesgo puede llegar hasta el compromiso total del dispositivo. El caso también guarda eco con la historia antigua. A finales de la década de 2000, las descargas drive-by hacían que las páginas maliciosas fueran peligrosas con solo visitarlas, y el consejo estándar era alejarse de los sitios dudosos y mantener el software actualizado. AdFection pertenece a ese linaje pero invierte la geometría: el contenido malicioso viajó hacia la víctima a través de editores reputados, y no al revés. Una red publicitaria es, en términos funcionales, un sistema global de distribución de contenido con poca transparencia sobre quién puede pagar por una colocación y quién verá el resultado. Esa opacidad no es un accidente del sistema; forma parte de cómo está diseñado el mercado. Hasta que eso cambie, tratar cada anuncio incrustado como contenido no confiable, en cualquier sitio, es el criterio predeterminado razonable.
