Investigadores de Citizen Lab han revelado que anuncios dirigidos han sido utilizados para instalar malware sofisticado en dispositivos de individuos seleccionados, sin requerir ninguna interacción. Este hallazgo, publicado recientemente, marca la primera confirmación de spyware mercenario entregado a través de anuncios con exploits de cero clics.
La campaña, denominada AdFection, logró infectar 45 dispositivos en la organización internacional de medios Al Jazeera durante 2024 y 2025. Los ataques, que afectan tanto a dispositivos iOS como Android, son especialmente peligrosos porque operan sin que el objetivo realice ninguna acción y son invisibles a menos que se utilicen herramientas forenses especiales.
Citizen Lab advierte que este tipo de ataques representa un riesgo significativo no solo para las potenciales víctimas, sino también para estados y la sociedad civil en general. La investigación sugiere que las organizaciones de noticias en todo el mundo podrían estar siendo activamente atacadas mediante esta nueva amenaza, afectando tanto a redacciones como a periodistas individuales.
Los anuncios fueron proporcionados por Discover-Tech, una empresa israelí que se presenta como una compañía de publicidad legítima, pero que, según Citizen Lab, actúa como facilitadora de múltiples socios de spyware mercenario. Discover-Tech opera como un intermediario entre anunciantes y editores o desarrolladores de aplicaciones que buscan ingresos a cambio de mostrar anuncios.
Entre marzo y junio de 2026, Discover-Tech mostró anuncios en más de 70,000 aplicaciones móviles y más de 120,000 sitios web. La empresa ha sido eliminada de los registros de proveedores de anuncios de Google y IAB Europe, y ha perdido acceso a plataformas de intercambio de anuncios de Google. Además, ha sido bloqueada por otras plataformas de publicidad mientras se realiza una revisión de sus prácticas. Citizen Lab destaca que la masiva invasión de privacidad y el abuso por parte de Discover-Tech evidencian fallas estructurales en el sistema de publicidad en línea, que no logró detectar ni prevenir estos abusos.
Comentarios