El spyware Candiru entró en equipos Windows de Al Jazeera a través de anuncios sin clic, una ruta de infección que convierte un anuncio común en la puerta de entrada. La investigación de Citizen Lab, laboratorio de la Universidad de Toronto, publicada el 15 de octubre de 2026, documenta al menos 45 dispositivos afectados en la redacción entre 2024 y 2025 y le pone nombre a la técnica: AdFection.
Un anuncio se carga. El equipo queda comprometido. No hace falta tocar un banner, abrir un enlace ni descargar un archivo. Esa secuencia, descrita por Citizen Lab como la primera confirmación técnica pública de spyware mercenario entregado mediante publicidad dirigida, cambia la conversación sobre el riesgo de navegar sin bloqueador en un medio de comunicación, una ONG o una oficina pública.
Discover-Tech y Controlium, el puente entre el anuncio y el espía
Citizen Lab identificó a Discover-Tech, firma publicitaria con sede en Israel, como intermediaria entre los operadores del spyware y la infraestructura publicitaria común. La empresa presenta una plataforma de compra de anuncios llamada MyDSP. Otra plataforma suya, Controlium, permitía elegir personas para perfilar o infectar usando identificadores publicitarios móviles, identificadores de cookies del navegador y direcciones IP, reportó el laboratorio en su informe.
La cadena reconstruida con registros de red aportados por Al Jazeera sigue un orden claro. Los dispositivos comprometidos contactaron infraestructura de Discover-Tech, luego servidores de validación de Candiru y después servidores de mando y control. En un equipo afectado se recuperó una biblioteca DLL de Windows con direcciones de mando y control escritas en el código. Citizen Lab atribuyó esa pieza a Candiru con alta confianza por huellas de infraestructura y similitudes con muestras de 2021, incluida la forma de mantener persistencia y de ocultar cadenas de texto.
Candiru opera ahora bajo la marca Integrity Labs. El laboratorio canadiense la describe como una vendedora de spyware mercenario vinculada antes a ataques contra periodistas, activistas y figuras políticas. El spyware de este tipo busca mensajes, correos, ubicación, micrófono y archivos, y se vende a clientes gubernamentales que lo usan fuera del escrutinio público habitual.
El mecanismo aprovecha las subastas automáticas de publicidad. Discover-Tech ganaba una subasta para colocar un anuncio en un sitio o una aplicación abierta en el equipo objetivo. Al mostrarse, el anuncio pedía código JavaScript a un servidor de la firma. Ese servidor decidía, con los identificadores del visitante, si devolvía código adicional que dirigía el equipo elegido hacia la infraestructura del spyware. La mayoría de los visitantes recibía un anuncio normal. Solo los objetivos recibían la etapa siguiente, un filtro que también dificulta el trabajo de los escáneres de seguridad publicitaria. Algunos anuncios podían cargarse en segundo plano.
Un alcance medido en miles de millones de pujas
La escala potencial impresiona más que el caso de Al Jazeera. Citizen Lab revisó cerca de 4,000 millones de registros de pujas expuestos públicamente entre marzo y junio de 2026. MyDSP presentó unas 3,770 millones de pujas y ganó cerca de 442 millones de subastas en ese período, con datos del informe difundidos por CyberInsider.
Los anuncios con cargadores de scripts remotos de Discover-Tech aparecieron en 75,373 aplicaciones de Android e iOS y en 120,768 sitios web: servicios de mensajería, clima, salud, citas y juegos, junto a publicaciones de noticias reconocidas. También hubo impresiones en redes vinculadas a la OTAN, organismos de Naciones Unidas, instituciones de la Unión Europea, agencias de gobierno, empresas de defensa y operadores de infraestructura crítica. Una impresión, aclara el laboratorio, no prueba un ataque ni una infección. Prueba alcance. Y el alcance, en publicidad programática, se compra en segundos.
El informe vinculó además a Discover-Tech con las firmas de vigilancia Bindecy e Intelos. Otro actor, rastreado con el nombre DARK CARTOGRAPHER, habría usado su infraestructura para conectar identificadores publicitarios con números de teléfono explotando debilidades de redes móviles en más de 30 países. Discover-Tech y Candiru, bajo Integrity Labs, no respondieron a las solicitudes de comentarios de Citizen Lab citadas en la cobertura.
Google cortó el acceso y las defensas vuelven a lo básico
Tras la investigación, Google retiró a Discover-Tech de sus plataformas publicitarias y activó protecciones de Navegación Segura contra dominios conocidos controlados por los atacantes. IAB Europe la eliminó de su registro de proveedores, Beeswax la sacó de su plataforma de compra, Eskimi bloqueó sus cuentas y dominios, y Vungle pausó su acceso mientras revisa el caso, informó CyberInsider en su cobertura del informe.
Las recomendaciones de Citizen Lab suenan familiares, aunque ahora llevan otro peso. Bloquear publicidad y rastreo en el equipo y en la puerta de enlace de la red. Desactivar identificadores publicitarios cuando el sistema lo permita. Revisar el tráfico relacionado con anuncios en busca de conexiones sospechosas. En el plano personal, un bloqueador confiable y un navegador centrado en privacidad reducen exposición, una línea de defensa que complementa hábitos básicos como los reunidos en cualquier guía para proteger un iPhone frente a hackers, porque el identificador que hoy perfila un anuncio mañana puede perfilar un ataque.
El hallazgo deja una incomodidad difícil de sacudir en cualquier redacción. El sistema publicitario que financia buena parte de la web abierta demostró servir, en manos de un intermediario concreto, como sistema de entrega selectiva de spyware sin clic, con Al Jazeera como caso documentado y con registros que ya están en manos de otros investigadores.
Fuente: CyberInsider
Top comments (0)