Citizen Lab, de la Universidad de Toronto, documentó por primera vez un ataque de spyware mercenario que se activa con solo cargar un anuncio. El arma no es el clic: es el espacio publicitario de cualquier web legítima.
Un anuncio puede instalar spyware en un teléfono sin que la víctima toque nada. Eso es lo que acaba de documentar y nombrar, por primera vez con evidencia técnica, el Citizen Lab de la Universidad de Toronto, en un informe de largo aliento (Reporte 195, publicado el 15 de octubre) firmado por Bill Marczak, Wolfie Christl, John Scott-Railton, Astrid Perry, Siena Anstis y Ron Deibert, en coordinación con la firma de seguridad publicitaria Confiant.
Los investigadores bautizaron la técnica AdFection y señalaron a la pieza que la hace posible: Discover-Tech, una firma israelí registrada en 2020 que se presenta como agencia de publicidad —y que, según el informe, viene facilitando spyware mercenario desde al menos 2024. El hallazgo, dicen los autores, es «la primera confirmación técnica pública de un ataque de spyware mercenario de cero clic entregado a través de publicidad dirigida».
La cadena de infección, paso a paso
El mecanismo no necesita ningún clic, ningún archivo adjunto, ningún enlace sospechoso. Basta con que el teléfono de la víctima cargue una web o una app que, sin saberlo, está mostrando un anuncio servido por la infraestructura de Discover-Tech.
En el centro de la operación está Controlium, la plataforma de Discover-Tech para gestionar «anuncios controlados»: permite apuntar a un usuario específico por su identificador publicitario móvil, por cookie de navegador o por dirección IP. Cuando el anuncio carga, un servidor llamado NOAS decide en microsegundos si ese usuario es un objetivo elegible. Si no lo es, devuelve una respuesta vacía de 0 bytes —nada pasa—. Si lo es, devuelve un código JavaScript que dispara la cadena de infección hacia la infraestructura del cliente de espionaje, en este caso Candiru.
Citizen Lab recuperó el frontend de Controlium desde su propia página de login pública. Encontró una falla de autenticación: el sistema derivaba un token de acceso a partir de metadatos cifrados del usuario con una clave publicada en el propio frontend, en lugar de validar el JWT firmado de Okta/Auth0. Un endpoint sin autenticación, /csv-download, expuso registros de inicio de sesión de 128 días y 120 nombres de usuario —la puerta de entrada que permitió reconstruir buena parte del mapa de clientes.
Candiru, el fabricante del espía
El spyware al otro extremo de la cadena es atribuido con alta confianza a Candiru —rebautizada comercialmente como «Integrity Labs»—, la firma israelí que Microsoft documentó en 2021 bajo el nombre técnico DevilsTongue y que Washington incluyó ese mismo año en la lista de entidades sancionadas del Departamento de Comercio. La muestra de malware analizada por Citizen Lab (hash SHA256 que empieza en 255869de…) comparte rasgos con la cadena de Candiru documentada en 2021: un secuestro de componente COM para mantener persistencia, una clave XOR repetida de 48 bytes, y verificaciones de conectividad contra google.com y microsoft.com para camuflarse como tráfico normal.
Dos usuarios de Controlium, identificados como INTEGRITYPRESALE1 y INTEGRITYPRESALE2, iniciaron sesión desde una IP de Integrity Labs en Israel. Un enlace de infección listado en VirusTotal se descifró hasta una IP registrada al Ministerio de Asuntos Exteriores de Arabia Saudita.
Al Jazeera, el caso que lo confirma
La prueba más concreta está en los registros de red de Al Jazeera. Entre 2024 y 2025, al menos 45 dispositivos del medio catarí fueron blanco de esta cadena. Los logs muestran una secuencia fija y repetida: primero un dominio de anuncios de Discover-Tech, después un servidor «validador» de Candiru, y por último un servidor de comando y control de Candiru. Los investigadores identificaron 305 dominios en 319 direcciones IP cumpliendo este patrón de validación entre agosto de 2022 y julio de 2026 —el comportamiento empezó a retirarse recién en mayo y junio de este año, probablemente al detectarse la investigación en curso.
La escala: miles de millones de subastas publicitarias
Para medir el tamaño real de la operación, los investigadores analizaron alrededor de 4.000 millones de registros de pujas publicitarias extraídos de instancias de Apache Druid que quedaron expuestas públicamente —y que fueron cerradas en agosto de 2026 tras ser detectadas—.
El mayor volumen de pujas se concentró en Yemen (457 millones), seguido por Pakistán, Montenegro, Brasil y México. En el reparto entre plataformas de subasta, Yandex concentró el 67,4% de las pujas, Google Ad Manager el 24,74% y Vungle el 7,24%. Los investigadores también hallaron anuncios genéricos —de marcas como AliExpress o Ugreen— sin conversiones reales ni evidencia de una relación comercial efectiva, lo que sugiere que esas marcas fueron usadas como fachada, sin saberlo, y no como clientes reales de la campaña.
El informe documenta impresiones de estos anuncios en redes del Departamento de Defensa de Estados Unidos, la OTAN, el Organismo Internacional de Energía Atómica, organismos de la Unión Europea, infraestructura crítica nórdica y australiana, numerosos ministerios de gobierno, empresas de defensa y semiconductores, y medios de comunicación en varios países. Los autores son explícitos en una aclaración clave: que un anuncio se haya mostrado en esas redes no prueba que hubo infección —solo que hubo exposición al vector de ataque.
El entramado completo: cuatro empresas, un actor en la sombra
Registrada en Israel en 2020, aparecía como proveedor aprobado en el Transparency and Consent Framework de IAB Europe. Opera Controlium. Facilita spyware mercenario desde al menos 2024, según el informe.
Fabricante israelí del spyware DevilsTongue. Sancionada por EE.UU. en 2021. Comparte vitrina del mercado mercenario con NSO Group (Pegasus) e Intellexa (Predator).
Firma de intrusión mercenaria. Usuarios de Controlium conectados desde una IP israelí. Infraestructura con certificados y productos llamados «Archer» y «Cupid». Operadores detectados en Bélgica, Alemania, Noruega, Portugal, Suecia, Singapur y España, con posibles clientes en México y Colombia.
Se presenta como agencia de «inteligencia publicitaria» (ADINT). Al menos 15 usuarios de Controlium están vinculados a su infraestructura. Un accionista y exdirector de Discover-Tech, Eric Banoun, conecta ambas compañías.
Por encima de estas cuatro empresas, el informe describe a un quinto actor, al que llama DARK CARTOGRAPHER: un operador que usa la infraestructura de Discover-Tech para explotar fugas de IP vía WebRTC y fallas de «inicio de sesión de cero clic» en redes móviles, cruzando identificadores publicitarios con números de teléfono reales —desanonimización masiva. Según Citizen Lab, este actor está activo desde al menos 2019 en más de 30 países, y su rastro conecta con un contratista del Gobierno de Estados Unidos cuya identidad no se revela en este primer informe. Los investigadores anuncian un segundo reporte monográfico dedicado exclusivamente a DARK CARTOGRAPHER.
«El sector se ha optimizado durante años contra el fraude y el malware que roba dinero. Nunca contra el que roba poder.»
Jerome Dangu, ConfiantLa respuesta de la industria
La reacción llegó después del informe, no antes. Google e IAB Europe retiraron a Discover-Tech de sus registros de proveedores a comienzos de octubre; Beeswax, Vungle (Liftoff) y Eskimi también tomaron medidas contra la firma. Citizen Lab envió solicitudes de comentarios a 13 compañías mencionadas en el informe; ninguna de las cuatro señaladas como núcleo del entramado —Discover-Tech, Candiru, Bindecy e Intelos— respondió.
El límite de lo que hoy se puede afirmar
Citizen Lab es explícito en su cautela: el informe no atribuye los ataques de AdFection a ningún Estado concreto, y la pieza más sensible —DARK CARTOGRAPHER y su rastro hacia un contratista estadounidense— queda reservada para un segundo reporte todavía no publicado. En ciberseguridad, la atribución sin respaldo técnico cruzado es especulación; con respaldo, es inteligencia. Por ahora, lo confirmado es la cadena comercial: Discover-Tech como facilitador de infraestructura, Candiru como fabricante del implante, y Bindecy e Intelos como piezas adicionales de un mercado que, cada vez que una sanción lo golpea, reaparece con otro nombre —como ya pasó con Hacking Team en 2015 y con NSO Group después.
Línea de tiempo
Según el informe, comienza la actividad de DARK CARTOGRAPHER, el actor que explota fallas de red móvil para desanonimizar usuarios.
Se registra Discover-Tech en Israel, presentada como agencia de publicidad.
Microsoft documenta el implante de Candiru (DevilsTongue). Estados Unidos sanciona a Candiru, incluyéndola en la lista de entidades del Departamento de Comercio.
Operan los servidores «validadores» vinculados a Candiru: 305 dominios en 319 IPs detectados entre agosto de 2022 y julio de 2026.
Discover-Tech comienza, según el informe, a facilitar spyware mercenario de forma activa. Empiezan los ataques documentados contra Al Jazeera.
Ventana analizada por los investigadores: 4.000 millones de registros de subasta publicitaria, con anuncios de Discover-Tech en 120.768 webs y 75.373 apps.
Comienza a retirarse el comportamiento de los servidores validadores de Candiru, posiblemente al detectar la investigación.
Se cierran las instancias de Apache Druid que habían quedado expuestas públicamente y que permitieron reconstruir la escala de la operación.
Citizen Lab publica el Reporte 195. Google e IAB Europe retiran a Discover-Tech de sus registros.
La publicidad programática fue diseñada para vender zapatillas con precisión quirúrgica. Lo que este informe demuestra es que la misma precisión —saber quién es el usuario, dónde está, qué dispositivo usa— sirve exactamente igual para meterle un implante de espionaje sin que la víctima llegue a ver el anuncio completar de cargar.
Bastión se sostiene con trabajo, no con publicidad. Si esto te aportó algo, invitame un café.
☕ Invitame un caféInforme completo: citizenlab.ca/research/how-discover-tech-turned-targeted-ads-into-a-pipeline-for-spyware/