Un anuncio online bastó para instalar spyware, sin necesidad de hacer clic

Investigadores de seguridad afirman que se utilizó publicidad dirigida para infectar dispositivos de la cadena de noticias Al Jazeera, demostrando cómo los anuncios online cotidianos pueden convertirse en un medio para llevar a cabo operaciones de vigilancia.

No hace falta hacer clic en un enlace sospechoso para convertirse en objetivo de un ataque con spyware. A veces, basta con que se cargue un anuncio. Citizen Lab asegura haber documentado precisamente este escenario en Al Jazeera, en lo que describe como la primera confirmación técnica pública de infecciones con spyware comercial distribuidas mediante publicidad dirigida.

Puntos clave

• Los investigadores afirman que se utilizaron anuncios dirigidos para distribuir el spyware Candiru a dispositivos de Al Jazeera
• La técnica de ataque, denominada AdFection, no requiere que la víctima haga clic en ningún elemento
• Millones de dispositivos se conectaron a una infraestructura de vigilancia, pero eso no significa que todos fueran infectados
• Google y otras empresas del sector publicitario restringieron el acceso de Discover-Tech tras la investigación

Cómo un anuncio puede convertirse en una vía de infección

En un informe publicado el 15 de octubre, Citizen Lab identifica a la empresa israelí Discover-Tech como un intermediario entre las plataformas de publicidad online y los proveedores comerciales de spyware.

Su plataforma Controlium permite a los clientes seleccionar objetivos mediante identificadores publicitarios, identificadores del navegador o direcciones IP. Un anuncio mostrado en el dispositivo seleccionado puede activar la distribución de código malicioso sin que la persona tenga que hacer clic en nada.

Según Citizen Lab, al menos 45 dispositivos de Al Jazeera fueron objeto de ataques durante 2024 y 2025. Los investigadores vincularon los ataques, con un alto grado de confianza, al spyware Candiru, basándose en pruebas obtenidas del tráfico de red y en un archivo malicioso para Windows recuperado de un dispositivo comprometido.

La cifra corresponde a los dispositivos que fueron objetivo de los ataques, no al número de infecciones confirmadas.

El mismo sistema que encuentra clientes puede identificar objetivos de vigilancia

La publicidad dirigida se basa en subastas automatizadas que se realizan en fracciones de segundo y permiten a los anunciantes llegar a públicos específicos. La información compartida durante este proceso puede revelar detalles sobre los dispositivos, la actividad de navegación y la ubicación de los usuarios.

Según Citizen Lab, Discover-Tech aprovechó esta infraestructura para identificar usuarios y distribuir código malicioso de forma selectiva. Mantener el exploit separado del anuncio inicial ayudaba a ocultar su verdadero propósito a las plataformas encargadas de distribuir la publicidad.

Una investigación paralela de la empresa de seguridad publicitaria Confiant muestra hasta qué punto puede llegar a ser sofisticado este proceso de selección.

Confiant examinó mecanismos capaces de recopilar características de los dispositivos y las redes, supervisar determinadas interacciones y recibir instrucciones mediante comunicaciones cifradas. Estas comprobaciones pueden ayudar a los operadores a distinguir a una víctima concreta de un sistema automatizado de análisis de seguridad.

Los investigadores también describen un mecanismo para distribuir código adicional, incluidos exploits para navegadores. No obstante, advierten de que las restricciones de los navegadores limitan la información a la que pueden acceder algunas de las funciones observadas dentro de los anuncios.

La conclusión es inquietante: el aspecto de un anuncio revela muy poco sobre el código que se ejecuta en segundo plano.

Una exposición masiva no significa que todos los dispositivos fueran infectados

Citizen Lab descubrió que los anuncios de Discover-Tech dirigieron a millones de dispositivos hacia una infraestructura utilizada para recopilar información e intentar infectarlos. Los anuncios aparecieron en sitios web conocidos y aplicaciones de uso cotidiano, incluidos servicios de noticias, meteorología y citas.

Los investigadores también identificaron impresiones publicitarias en redes de organismos gubernamentales, medios de comunicación y operadores de infraestructuras críticas.

Tras la investigación, Google e IAB Europe eliminaron a Discover-Tech de sus listas de proveedores. Google y Beeswax también cancelaron el acceso de la empresa a sus sistemas publicitarios.

Qué puedes hacer para reducir tu exposición

El consejo de no hacer clic en anuncios sospechosos sigue siendo útil, pero no puede evitar un ataque que se activa simplemente al cargar un anuncio.

Estas son algunas medidas prácticas:

• Utiliza herramientas fiables para bloquear anuncios y rastreadores. Comprueba quién es el desarrollador y qué permisos solicita antes de instalar un nuevo navegador o una extensión
• Mantén actualizados los navegadores, las aplicaciones y los sistemas operativos. Activa las actualizaciones automáticas para que tus dispositivos reciban cuanto antes las correcciones de seguridad disponibles
• Revisa la configuración de privacidad publicitaria. Limita la publicidad personalizada y los permisos de seguimiento innecesarios
• Busca ayuda especializada si tu trabajo puede convertirte en objetivo de vigilancia. Los periodistas, activistas y otras personas que manejan información sensible deberían acudir a su equipo de seguridad si sospechan que alguno de sus dispositivos ha sido comprometido

Como explicamos en este artículo sobre cómo puede acabar el spyware en tu dispositivo, el spyware es uno de los tipos de malware más peligrosos. No solo por su capacidad para robar información confidencial, sino también porque puede infectar dispositivos sin que el usuario tenga que hacer absolutamente nada.

Este tipo de software está diseñado para recopilar de forma encubierta información sobre las actividades de una persona, sin su conocimiento ni consentimiento.

Los hackers respaldados por gobiernos utilizan spyware para atacar a personas de alto perfil, como disidentes, activistas políticos y periodistas, generalmente con el objetivo de recopilar información relacionada con rivalidades geopolíticas.

Ten presente esta vía de ataque a través de anuncios online identificada por Citizen Lab y mantén siempre tus dispositivos al día con las últimas actualizaciones de seguridad proporcionadas por sus fabricantes.

Considera también utilizar una solución de seguridad independiente, no solo para protegerte frente al spyware, sino también frente a la amplia variedad de amenazas informáticas existentes.

Bitdefender incluye funciones de bloqueo de anuncios y protección contra el rastreo online en Bitdefender Premium VPN.